Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que l'analyse de la composition des logiciels ?

Contactez-nousProduits associés
Illustration des éléments informatiques avec un point d'interrogation en point de mire

Présentation

Un écran d'ordinateur affichant des lignes de code colorées

L'analyse de la composition des logiciels (SCA) est une pratique de sécurité des applications qui permet d'identifier, de suivre et de gérer les composants open-source et tiers utilisés dans les applications modernes. En analysant les dépendances logicielles, SCA aide les organisations à détecter les vulnérabilités, à faire respecter les licences et à gérer la sécurité de la chaîne d'approvisionnement en logiciels.

Analyse de la composition des logiciels

Pourquoi le SCA est-il important ?

Les applications d'aujourd'hui sont construites à partir de milliers de bibliothèques open-source et de composants tiers, qui représentent souvent 70 à 90% de la base de code. Si cela accélère le développement, cela élargit également la surface d'attaque. Des vulnérabilités telles que Log4Shell (Log4j) ont montré comment une simple faille dans une dépendance largement utilisée peut créer une crise de sécurité mondiale.

Sans visibilité sur ces éléments, les organisations risquent :

  • Exposer les applications à des vulnérabilités connues
  • Violation des termes de la licence open-source
  • Exécution de composants obsolètes ou abandonnés
  • Ne pas se conformer aux nouvelles réglementations (par exemple, les exigences du SBOM)

Le SCA offre la visibilité et le contrôle nécessaires pour gérer ces risques de manière proactive.

Comment fonctionne l'analyse de la composition des logiciels ?

Les outils SCA s'intègrent aux référentiels de code source, aux pipelines CI/CD et aux gestionnaires de paquets pour identifier automatiquement les composants open-source et tiers au sein d'une application.

Les capacités clés sont généralement les suivantes

  • Identification des composants : Construire une nomenclature logicielle complète (SBOM).
  • Détection des vulnérabilités : Identifier les failles connues à l'aide de bases de données telles que NVD et de flux de renseignements sur les menaces.
  • Conformité des licences de logiciels libres : Contrôler les types de licences open-source afin de prévenir les risques juridiques et opérationnels.
  • Conseils en matière de remédiation : Recommander des versions sûres ou des alternatives pour résoudre les problèmes.
  • Surveillance continue : Alerter les équipes lorsque de nouvelles vulnérabilités affectent les dépendances existantes.

Avantages de l'ACS

  • Visibilité : Compréhension complète de vos dépendances open-source et tierces.
  • Réduction des risques : Détection proactive et remédiation des vulnérabilités.
  • Soutien à la conformité : Garantir le respect des obligations en matière de licence et des normes réglementaires.
  • Responsabilisation des développeurs : Intégration dans les flux de travail des développeurs pour un code plus rapide et plus sûr.
  • Résilience de la chaîne d'approvisionnement : Protégez-vous contre les risques dans l'ensemble de l'écosystème des applications.

Analyse de la composition des logiciels avec OpenText™ Application Security

OpenText offre des capacités SCA complètes dans le cadre de sa plate-forme AST (Application Security Testing), notamment :

  • Analyse approfondie des bibliothèques open-source et tierces.
  • Gestion continue du SBOM pour assurer la conformité et la transparence.
  • Intégration avec les flux de travail des développeurs, les pipelines CI/CD et les outils de gouvernance.
  • Prise en charge des applications cloud-natives, API, mobiles et conteneurisées.
  • Des conseils augmentés par l'IA pour réduire les faux positifs et accélérer la remédiation.

Principaux enseignements

Le SCA est essentiel pour sécuriser les chaînes d'approvisionnement en logiciels d'aujourd'hui en offrant une visibilité, une conformité et une gestion des risques pour les composants open-source et tiers.

Produits associés

OpenText™ Core Software Composition Analysis

Contrôlez la sécurité, la conformité et la santé des projets grâce à l'analyse des dépendances et à d'autres outils qui révolutionnent la manière dont vous gérez la sécurité des logiciels open source.

OpenText™ Core Open Source Select

Trouver et évaluer plus de 40 millions de projets open-source, le tout dans une seule base de données

OpenText™ Core Application Security

Bénéficiez de tests de sécurité, d'une gestion des failles, ainsi que d'une expertise et d'une assistance sur mesure.

Voir tous les produits

Comment pouvons-nous vous aider ?