Qu’est-ce que l’Analyse de Composition Logicielle (SCA) ?

L’Analyse de Composition Logicielle (SCA) est un processus de sécurité qui identifie et gère les risques dans les bibliothèques tierces utilisées au sein des applications.

Les applications modernes dépendent fortement des bibliothèques open-source, des composants tiers ou des frameworks. Les vulnérabilités de ces dépendances peuvent exposer l’ensemble de l’application aux attaquants.

Les outils SCA analysent les dépendances pour trouver des vulnérabilités, des paquets obsolètes et des risques liés aux licences.

Pourquoi la SCA est importante en cybersécurité

Les applications d’aujourd’hui sont construites avec des composants tiers et des bibliothèques open-source. Les attaquants ciblent souvent ces composants pour exploiter des vulnérabilités, comme on l’a vu dans des cas très médiatisés tels que la vulnérabilité Log4j.

Avantages de la SCA

L’Analyse de Composition Logicielle (SCA) aide les organisations à :

• Détecter les vulnérabilités dans les bibliothèques utilisées avant d’atteindre la production
• Suivre les bibliothèques de licences open-source pour éviter les risques juridiques
• Réduire le risque d’attaques de la chaîne d’approvisionnement
• Conformité avec les cadres de sécurité tels que PCI DSS et NIST

Comment fonctionne le SCA

• Analyser l’arborescence des dépendances de l’application
• Comparer le composant avec une base de données de vulnérabilités connues (par exemple, NVD)
• Signaler les paquets obsolètes ou risqués, et suggérer au développeur de les mettre à jour ou de les corriger
• Fournir une visibilité sur l’utilisation des licences open-source

Problèmes courants détectés par le SCA

• Bibliothèques open-source vulnérables (par exemple Log4J)
• Dépendances obsolètes avec des failles de sécurité
• Conflits de licences (GPL, Apache, etc.)
• Risque de paquet malveillant dans les dépôts publics

Exemple

L’équipe de développement construit une application web en utilisant une version obsolète d’une bibliothèque de journalisation. Les outils SCA analysent et trouvent que cette version est vulnérable à une attaque d’exécution de code à distance (RCE). L’équipe met à jour la dépendance vers une bibliothèque sécurisée avant que l’application ne passe en production.

Termes Connexes

• SAST (Static Application Security Testing)
• DAST (Dynamic Application Security Testing)
• IAST (Interactive Application Security Testing)
• Test de Sécurité des Applications
• SBOM (Software Bill of Materials)
• Attaque de la Chaîne d’Approvisionnement