SCA 工作流程與最佳做法

軟體組成分析掃描步驟概述及最佳作法

執行 SCA 掃描的一般步驟如下。可能需要額外步驟才能達到您的掃描目標。

註： 必須為使用者指派適當的角色，使用者才能執行 SCA 掃描。如果您不確定您的使用者角色是否具有適當權限，請洽詢您組織的 AppScan 360° 管理員。
  1. 建立應用程式。
  2. 決定您要使用哪個機制來準備檔案以進行掃描，並根據此機制進行設定：
  3. 使用您偏好的方法產生 IRX。
  4. 建立並配置掃描。
  5. 檢視掃描喜好設定。
  6. 執行掃描。
  7. 檢視結果。
  8. 分類並補救問題。
  9. 視需要重複第三至第八步驟。

最佳作法

遵循這些最佳作法，您就能在專案的開放原始碼元件中，最佳化您辨識及緩解漏洞的成效：

  • 對於使用套件管理程式的專案，SCA 可以建構詳細的相依性樹狀結構，顯示直接與間接的相依關係深入資訊。掃描套件管理程式配置檔，會比僅掃描原始檔案的結果準確，因為在專案使用套件管理程式建置之後，大部分的相依關係才會經過解析。
    註： 從掃描配置檔所得到的套件位置，會指向配置檔本身而非程式庫實際的位置。
  • 當僅有套件管理檔案存在時（無鎖定檔），AppScan CLI 會嘗試使用可用的本端建置工具來建置專案，以確保解析所有相依關係。自行建置自己的專案一律是較佳的做法。
  • 如果偵測不到任何配置檔和鎖定檔，SCA 會預設使用最佳掃描，取每個檔案的雜湊並將其與已知資料來源比對，以使用個別原始檔。