SCA (Software Composition Analysis)

devsecops

Définition

Le SCA (Software Composition Analysis) est une catégorie d'outils de sécurité applicative qui analyse les composants open source et les dépendances tierces d'une application pour identifier les vulnérabilités connues, les problèmes de licence, et les risques de supply chain. Face à la réalité que 70 à 90% du code d'une application moderne est composé de bibliothèques tierces, le SCA est devenu un pilier indispensable des programmes DevSecOps. Le processus d'analyse SCA commence par l'inventaire des dépendances : le SCA parse les fichiers de manifeste (package.json, pom.xml, requirements.txt, go.mod, Gemfile.lock, Cargo.toml) pour identifier toutes les bibliothèques directes et transitives utilisées par le projet. Cet inventaire est ensuite corrélé avec des bases de données de vulnérabilités (NVD, GHSA, OSV, bases propriétaires) pour identifier les CVEs affectant ces versions de bibliothèques. Au-delà des vulnérabilités, le SCA analyse la conformité des licences open source. Les licences copyleft fortes (GPL, AGPL) peuvent imposer des obligations légales incompatibles avec les modèles commerciaux propriétaires si elles sont utilisées dans certains contextes. Les outils SCA classifient les licences et alertent sur les combinaisons risquées selon la politique de l'organisation. Les fonctionnalités avancées des SCA modernes incluent l'analyse des dépendances transitives (pas seulement les dépendances directes mais toutes les dépendances des dépendances), la génération de SBOM (Software Bill of Materials) pour l'inventaire complet des composants, la détection des dépendances abandonnées ou non maintenues, et l'intégration avec les systèmes de gestion des vulnérabilités pour le suivi de la remédiation. Les principaux outils SCA du marché incluent Snyk Open Source, OWASP Dependency-Check, Dependabot (GitHub natif), Renovate Bot, JFrog Xray, Black Duck (Synopsys), Mend (ex-WhiteSource), FOSSA, et Trivy en mode SCA. L'intégration dans les pipelines CI/CD permet de bloquer les builds ou pull requests introduisant de nouvelles vulnérabilités critiques dans les dépendances.

Analyse des dépendances directes et transitives

Le défi principal du SCA est l'analyse des dépendances transitives : une bibliothèque A peut dépendre de B, qui dépend de C présentant une vulnérabilité critique. Le SCA construit un graphe complet des dépendances et associe chaque nœud aux CVEs applicables. Les outils modernes comme Snyk proposent des visualisations en arbre de dépendances avec mise en évidence des chemins vers les bibliothèques vulnérables.

Conformité des licences open source

La gestion des licences est un aspect souvent négligé du SCA. Les licences GPL/AGPL imposent des obligations de publication du code source pouvant affecter les produits commerciaux. Les SCA classifient les licences (permissive : MIT/Apache, copyleft faible : LGPL, copyleft fort : GPL/AGPL) et alertent sur les violations de politique. Un tableau de politique de licences (allowlist/blocklist) est configuré selon les contraintes légales de l'organisation.

Intégration CI/CD et PR checks

Les SCA s'intègrent dans les pipelines pour scanner les nouvelles dépendances lors des pull requests. Snyk, Dependabot et Renovate peuvent ouvrir automatiquement des PRs de mise à jour des dépendances vulnérables, avec notes sur les changements cassants potentiels. Les security gates bloquent les fusions de PR introduisant des vulnérabilités de sévérité supérieure au seuil configuré (ex : bloquer sur Critical/High CVSS ≥7.0).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis