Mikä on ohjelmiston koostumusanalyysi (SCA)?

Ohjelmiston koostumusanalyysi (SCA) on turvallisuusprosessi, joka tunnistaa ja hallitsee riskejä sovelluksessa käytetyissä kolmannen osapuolen kirjastoissa.

Nykyaikaiset sovellukset luottavat voimakkaasti avoimen lähdekoodin kirjastoihin, kolmannen osapuolen komponentteihin tai kehyksiin. Näiden riippuvuuksien haavoittuvuudet voivat altistaa koko sovelluksen hyökkääjille.

SCA-työkalut skannaavat riippuvuuksia löytääkseen haavoittuvuuksia, vanhentuneita paketteja ja lisenssiriskejä.

Miksi SCA on tärkeä kyberturvallisuudessa

Nykyään sovellukset rakennetaan kolmannen osapuolen komponenttien ja avoimen lähdekoodin kirjastojen avulla. Hyökkääjät hyökkäävät usein näihin komponentteihin hyödyntääkseen haavoittuvuuksia, kuten on nähty korkean profiilin tapauksissa, kuten Log4j-haavoittuvuus.

SCA:n hyödyt

Ohjelmiston koostumusanalyysi (SCA) auttaa organisaatioita:

• Tunnista käytössä olevien kirjastojen haavoittuvuudet ennen tuotantoon siirtymistä
• Seuraa avoimen lähdekoodin lisenssikirjastoja välttääksesi oikeudelliset riskit
• Vähennä toimitusketjuhyökkäysten riskiä
• Noudata turvallisuuskehyksiä, kuten PCI DSS ja NIST

Kuinka SCA Toimii

• Skannaa sovelluksen riippuvuuksien puu
• Vertaa komponenttia tunnettuja haavoittuvuuksia sisältävään tietokantaan (esim. NVD)
• Merkitse vanhentuneet tai riskialttiit paketit ja ehdota kehittäjälle päivitystä tai korjauksia
• Tarjoaa näkyvyyden avoimen lähdekoodin lisenssien käyttöön

Yleiset SCA:n Havaitsemat Ongelmat

• Haavoittuvat avoimen lähdekoodin kirjastot (esim. Log4J)
• Vanhentuneet riippuvuudet, joissa on turvallisuuspuutteita
• Lisenssikonfliktit (GPL, Apache, jne.)
• Julkisten arkistojen haitallisten pakettien riski

Esimerkki

Kehittäjätiimi rakentaa verkkosovelluksen käyttäen vanhentunutta versiota lokikirjastosta. SCA-työkalut skannaavat ja löytävät, että tämä versio on haavoittuva etäkoodin suoritus (RCE) hyökkäykselle. Tiimi päivittää riippuvuuden turvalliseen kirjastoon ennen kuin sovellus menee tuotantoon.

Liittyvät termit

• SAST (Staattinen sovellusten tietoturvatestaus)
• DAST (Dynaaminen sovellusten tietoturvatestaus)
• IAST (Interaktiivinen sovellusten tietoturvatestaus)
• Sovellusten tietoturvatestaus
• SBOM (Ohjelmiston materiaaliluettelo)
• Toimitusketjuhyökkäys