Software composition analysis (SCA)

Et SCA-værktøj arbejder i tre trin. Opdagelse opbygger fortegnelsen over afhængigheder ved at læse manifester og helst lockfiler (package-lock.json, poetry.lock, go.sum, Cargo.lock, pom.xml opløst via Maven), opløse hele den transitive graf og - for kompilerede artefakter eller container-images - tage fingeraftryk af binærer, JAR-filer og styresystempakker. Identifikation kobler hver komponent til en kanonisk identifikator, i dag som regel en Package URL (purl) og undertiden en CPE. Matchning sammenligner navn og version med sårbarhedskilder som NVD (CPE-baseret), OSV.dev (økosystemets egne versionsintervaller samlet fra GitHub Security Advisories, PyPA, RustSec, Go m.fl.) og leverandørfeeds samt med licensdata udtrykt som SPDX-licensidentifikatorer. Resultatet er ofte en SBOM plus fund, og derfor overlapper SCA- og SBOM-værktøjer i stigende grad.

Præcisionen begrænses af identifikationen. CPE-matchning giver falske positiver (en CVE for et produkt med et lignende navn) og oversete fund (en komponent, der aldrig har fået en CPE), og NVD's efterslæb med berigelse siden begyndelsen af 2024 efterlod mange CVE'er uden CPE-data i måneder, hvilket har skubbet værktøjerne mod økosystemspecifikke advisories i OSV-stil. Projekter uden lockfil giver kun versionsintervaller, så scanneren må gætte, hvad der bliver installeret; vendoreret, shadet eller statisk linket kode undslipper manifestbaseret scanning helt.

Prioritering adskiller brugbare programmer fra støjende. En sårbar funktion kan ofte ikke nås fra applikationens kaldgraf, så moderne værktøjer tilføjer reachability-analyse; sandsynligheden for udnyttelse (EPSS), optagelse i CISA's katalog over Known Exploited Vulnerabilities og leverandørers VEX-erklæringer indsnævrer listen yderligere. Afhjælpning automatiseres med pull requests fra Dependabot eller Renovate, der løfter versioner, men transitive rettelser kan kræve overrides eller at vente på en mellemliggende vedligeholder. Licensanalyse markerer stærke copyleft-vilkår (GPL, AGPL) i software, der distribueres eller eksponeres over netværk, og manglende krav om kildeangivelse.

SCA er også vokset fra matchning af kendte sårbarheder til trusler i forsyningskæden: detektion af typosquattede eller nyudgivne ondsindede pakker, dependency confusion (demonstreret offentligt af Alex Birsan i 2021, hvor interne pakkenavne blev registreret i offentlige registries), installationsscripts, der kører ved npm install, og forladte projekter uden vedligeholder. OWASP rangerede "Vulnerable and Outdated Components" som A06 i Top 10:2021, og 2025-udgaven udvidede kategorien til "Software Supply Chain Failures" som A03:2025. SCA adskiller sig fra SAST, der analyserer egen kildekode for kodefejl, og fra scanning af container-images, der anvender samme matchning på styresystempakker i et image; det er en form for sårbarhedsscanning rettet mod tredjepartskomponenter frem for kørende værter.