SCA 工作流程和最佳实践

软件组成分析扫描步骤概述和最佳实践

执行 SCA 扫描的常规步骤如下。可能需要执行其他步骤才能实现您的扫描目标。

注： 用户必须分配有适当的角色才能执行 SCA 扫描。如果您不确定您的用户角色是否具有适当的许可权，请咨询您组织的 AppScan 360° 管理员。
  1. 创建应用程序。
  2. 确定准备扫描文件时将使用的机制，并相应地进行设置：
  3. 使用首选方法生成 IRX。
  4. 创建和配置扫描。
  5. 审核扫描首选项。
  6. 运行扫描。
  7. 审核结果
  8. 筛选和补救问题。
  9. 根据需要重复步骤三至八。

最佳实践

通过遵循这些最佳实践，您可以优化 SCA 在识别和缓解项目开源组件中的漏洞方面的有效性：

  • 对于使用软件包管理器的项目，SCA 可以构建详细的依赖关系树，从而提供对直接和可传递依赖关系的见解。扫描软件包管理器配置文件的结果比仅扫描源文件更准确，因为大多数依赖项是在使用包管理器构建项目后才会解析的。
    注： 在配置扫描中，所定位的软件包来源将指向配置文件，而不是库的实际物理位置。
  • 当仅存在软件包管理文件（无锁定文件）时，AppScan CLI 会尝试使用可用的本地构建工具来构建项目，以确保所有依赖项都已解析。自己构建项目总是更好的选择。
  • 如果未检测到配置文件和锁定文件，SCA 将缺省采用尽力而为的扫描方式，通过对每个文件进行哈希处理并将其与已知数据源进行比较，利用单个源文件进行扫描。