Co je analýza složení softwaru (SCA)?
Analýza složení softwaru (SCA) je bezpečnostní proces, který identifikuje a řídí rizika v knihovnách třetích stran používaných v aplikacích.
Moderní aplikace se v poslední době silně spoléhají na open-source knihovny, komponenty třetích stran nebo frameworky. Zranitelnosti v těchto závislostech mohou vystavit celou aplikaci útočníkům.
Nástroje SCA skenují závislosti, aby našly zranitelnosti, zastaralé balíčky a rizika spojená s licencemi.
Proč je SCA důležitá v kybernetické bezpečnosti
Dnešní aplikace jsou postaveny s komponenty třetích stran a open-source knihovnami. Útočníci často napadají tyto komponenty, aby využili zranitelnosti, jak bylo vidět v případech s vysokým profilem, jako je zranitelnost Log4j.
Výhody SCA
Analýza složení softwaru (SCA) pomáhá organizacím:
- Detekce zranitelností v používaných knihovnách před nasazením do produkce
- Sledování knihoven s otevřeným zdrojovým kódem, aby se předešlo právním rizikům
- Snížení rizika útoků na dodavatelský řetězec
- Soulad s bezpečnostními rámci jako PCI DSS a NIST
Jak SCA funguje
- Skenování stromu závislostí aplikace
- Porovnání komponent s databází známých zranitelností (např. NVD)
- Označení zastaralých nebo rizikových balíčků a návrh vývojáři na aktualizaci nebo opravy
- Poskytuje přehled o používání licencí s otevřeným zdrojovým kódem
Běžné problémy detekované SCA
- Zranitelné knihovny s otevřeným zdrojovým kódem (např. Log4J)
- Zastaralé závislosti s bezpečnostními chybami
- Konflikty licencí (GPL, Apache, atd.)
- Riziko škodlivého balíčku ve veřejných repozitářích
Příklad
Vývojářský tým vytváří webovou aplikaci s použitím zastaralé verze knihovny pro logování. Nástroje SCA skenují a zjistí, že tato verze je zranitelná vůči útoku na vzdálené spuštění kódu (RCE). Tým aktualizuje závislost na bezpečnou knihovnu předtím, než aplikace půjde do produkce.
Související termíny
- SAST (Statické testování bezpečnosti aplikací)
- DAST (Dynamické testování bezpečnosti aplikací)
- IAST (Interaktivní testování bezpečnosti aplikací)
- Testování bezpečnosti aplikací
- SBOM (Softwarový seznam materiálů)
- Útok na dodavatelský řetězec