執行時期軟體組成分析

可辨識及管理應用程式在執行時期所使用之開放原始碼元件和程式庫的漏洞。

傳統 SCA 會在建置過程中識別第三方相依性，可能會導致產生數量大到令人難以招架的結果。執行時期 SCA 透過在執行過程中監控應用程式，來識別正在被主動載入的程式庫，藉以精煉這些資料。透過區分被參照的程式碼和已使用的程式碼，您可以將補救工作集中在具有真實世界風險的元件上。

主要優勢

  • 作業準確性：區分非作用中的相依性和作用中的高風險程式庫。
  • 風險優先順序：獲取更深層的漏洞上下文，簡化補救待辦清單。
  • 生產洞察：透過停用完整安全測試改為程式庫偵測，利用 IAST_SCA_PROD 以最小的開銷監控生產環境。
  • 函數層級連線能力：偵測與 CVE 關聯的有漏洞的函數，是否在應用程式執行時期實際執行。相較於僅顯示某個有漏洞的套件已載入記憶體，函數層級連線能力能提供更強而有力的證據，證明有漏洞的程式碼本身已被呼叫。這種更深層的訊號，可協助安全團隊優先處理在其環境中，已主動執行的漏洞。
    註：
    此功能目前僅支援 Python。
  • 執行時期程式庫偵測： ASoC 現在能針對偵測到的執行時期程式庫，識別並回報已知的 CVE，並偵測到僅在執行時期匯入或載入，但未出現在標準靜態相依性分析中的程式庫。僅在執行時期的相依性可以單獨回報，進而對僅存在於執行中應用程式的漏洞，提供更好的可見性。

實作工作流程

如果要利用執行時期 SCA，您必須部署代理程式，並將其發現項目與標準 SCA 掃描建立關聯。
  1. 部署 IAST 代理程式。

    在應用程式伺服器上安裝 IAST 代理程式。

  2. 配置環境變數。
    透過將以下變數之一新增至 IAST 配置檔案中，啓用執行時期偵測：
    變數 環境 說明
    IAST_RUNTIME_SCA 測試 / 暫置 啟用完整的 IAST 功能以及執行時期程式庫偵測。
    IAST_SCA_PROD 生產 停用標準 IAST 功能，僅保留程式庫偵測處於作用中狀態。
  3. 執行應用程式。
    代理程式必須查看正在使用的應用程式，才能識別已載入的程式庫。您可以透過以下方式來觸發：
    • 執行自動化功能或回歸測試。
    • 執行動態 (DAST) 掃描。
    • 手動探索應用程式。
  4. 關聯並檢閱結果。

    代理程式監控應用程式後，執行標準 SCA 掃描。 ASoC 自動將靜態掃描發現項目與代理程式的執行時期資料建立關聯。然後，已確認的作用中程式庫會顯示在關聯群組中，以便於識別。