SCA 工作流程和最佳实践

软件组成分析扫描步骤概述和最佳实践

执行 SCA 扫描的常规步骤如下。可能需要执行其他步骤才能实现您的扫描目标。

注： 用户必须分配有适当的角色才能执行 SCA 扫描。如果您不确定您的用户角色是否具有适当的许可权，请咨询您组织的 ASoC 管理员。
  1. 创建应用程序。
  2. 确定准备扫描文件时将使用的机制，并相应地进行设置：
  3. 使用首选方法生成 IRX。
  4. 创建和配置扫描。
  5. 审核扫描首选项。
  6. 运行扫描。
  7. 审核结果
  8. 筛选和补救问题。
  9. 根据需要重复步骤三至八。

最佳实践

通过遵循这些最佳实践，您可以优化 SCA 在识别和缓解项目开源组件中的漏洞方面的有效性：

  • 对于使用软件包管理器的项目，SCA 可以构建详细的依赖关系树，从而提供对直接和可传递依赖关系的见解。扫描软件包管理器配置文件的结果比仅扫描源文件更准确，因为大多数依赖项是在使用包管理器构建项目后才会解析的。
    注： 在配置扫描中，所定位的软件包来源将指向配置文件，而不是库的实际物理位置。
  • 当仅存在软件包管理文件（无锁定文件）时，AppScan CLI 会尝试使用可用的本地构建工具来构建项目，以确保所有依赖项都已解析。自己构建项目总是更好的选择。
  • 如果未检测到配置文件和锁定文件，SCA 将缺省采用尽力而为的扫描方式，通过对每个文件进行哈希处理并将其与已知数据源进行比较，利用单个源文件进行扫描。