फॉरेस्टर रिसर्च: टेन टॉप सॉफ्टवेयर कम्पोज़िशन एनालिसिस वेंडर्स की तुलना

अप्रैल 2019 में, फॉरेस्टर रिसर्च ने त्रैमासिक रिपोर्ट जारी की: फॉरेस्टर वेव ™: सॉफ्टवेयर कम्पोजिशन एनालिसिस क्लास (इसके बाद - SCA) के दस समाधान प्रदाताओं के मूल्यांकन और तुलना के साथ, सॉफ्टवेयर कम्पोजिशन एनालिसिस, Q2 2019। यह लेख रिपोर्ट के प्रमुख प्रावधानों का एक अनुकूलित अनुवाद है।

मुख्य खोज

• व्हाइटसोर्स और सिनोप्सिस ने बाजार के नेताओं (लीडर्स) की सूची में सबसे ऊपर;
• Snyk और Sonatype को सशक्त कलाकार कहा जाता है;
• व्हाइटहैट सिक्योरिटी , फ्लेक्सरा और वेराकोड को कंटेंडर नाम दिया गया है;
• GitLab , FOSSA और JFrog चैलेंजर्स हैं।

अनुवादक का नोट

सॉफ्टवेयर संरचना विश्लेषण क्या है? सॉफ़्टवेयर संरचना विश्लेषण प्रक्रिया साइबर आपूर्ति श्रृंखला जोखिम प्रबंधन ढांचे ( एनआईएसटी वेबसाइट देखें ) के व्यापक घटक विश्लेषण प्रक्रिया की एक उप-प्रजाति है और इसे तीसरे पक्ष और खुले स्रोत सॉफ़्टवेयर का उपयोग करने के संभावित जोखिमों की पहचान करने के लिए डिज़ाइन किया गया है।

सॉफ्टवेयर सॉल्यूशंस एनालिसिस (SCA) जैसे सॉफ्टवेयर सॉल्यूशंस क्रमशः कोड में कमजोरियों का पता लगाने और कमजोरियों को समाप्त करने, बाहरी (रेडी-मेड) पुस्तकालयों के उपयोग को नियंत्रित करने के लिए डिज़ाइन किए गए हैं।

विशेष रूप से घटक विश्लेषण और सॉफ्टवेयर संरचना विश्लेषण के एक सामान्य विचार के लिए, हम अनुशंसा करते हैं कि आप OWASJ परियोजना की वेबसाइट पर सामग्री के साथ खुद को परिचित करें ।

एक सुरक्षित अनुप्रयोग विकास वातावरण बनाने के लिए आधुनिक दृष्टिकोण को लागू करने में सॉफ्टवेयर रचना विश्लेषण (एससीए) वर्ग समाधान का महत्व

ऐसी परिस्थितियों में जब कोड की गुणवत्ता बनाए रखते हुए अनुप्रयोगों में जल्दी से नई कार्यक्षमता जोड़ना आवश्यक है, डेवलपर्स सार्वजनिक रिपॉजिटरी में स्थित पहले से ही बनाए गए सॉफ़्टवेयर मॉड्यूल का उपयोग करने के लिए तेजी से सहारा ले रहे हैं, साथ ही अपने कोड को अनुकूलित और स्वचालित कर रहे हैं, जो सामान्य खुले स्रोत घटकों पर भरोसा करते हैं। नवीनतम ^{स्रोत} अध्ययनों में से एक ने दिखाया कि वर्ष से वर्ष तक अध्ययन में विश्लेषण किए गए कोड आधार में खुले स्रोत घटकों की संख्या 21% बढ़ जाती है।
यह समझना महत्वपूर्ण है कि इन तृतीय-पक्ष ओपन सोर्स घटकों में महत्वपूर्ण कमजोरियां हो सकती हैं, जो अपने आप में पहले से ही व्यवसाय के लिए खतरा है। हाल के एक अध्ययन से पता चला है कि हर आठवें खुले स्रोत घटक में एक ज्ञात ^{स्रोत} सुरक्षा भेद्यता होती है। यह सब इस तथ्य से जटिल है कि हाल ही में, सूचना सुरक्षा विशेषज्ञों के पास हाल ही में खोजी गई कमजोरियों की पहचान करने और उन्हें खत्म करने का कम और कम समय है, क्योंकि एक भेद्यता के प्रकाशन और इसके शोषण के बीच का समय 45 से 3 दिनों से कम हो गया है।

इन रुझानों को देखते हुए, SCA समाधानों के उपभोक्ताओं को विक्रेता समाधानों पर बारीकी से विचार करना चाहिए:

• डेवलपर्स को कमजोरियों को ठीक करने के लिए सिफारिशें प्रदान करें।
  कमजोरियों और लाइसेंसिंग की स्थिति के कारण जोखिम को कम करने के लिए, डेवलपर्स को सुरक्षा जोखिमों के बारे में एसडीएलसी (सॉफ्टवेयर डिलीवरी लाइफ साइकल) प्रक्रियाओं के माध्यम से जल्द से जल्द सूचित करने की आवश्यकता होती है और लाइसेंस की सफाई के संदर्भ में किसी और के कोड का उपयोग करना पड़ता है, और उनकी सिफारिशों को प्राप्त करना भी आवश्यक है उन्मूलन। SCA- समाधान केवल जोखिमों को खत्म करने के लिए उच्च-गुणवत्ता की सिफारिशें नहीं देना चाहिए, कुछ उत्पाद कोड को सही करने के लिए समाधान भी प्रदान करते हैं, यदि कोई निश्चित संस्करण नहीं हैं, तो खुले स्रोत घटक के सुरक्षित संस्करण की उपलब्धता या पैच (पैच) बनाने के बारे में जानकारी प्रदान करते हैं।
• आपको विभिन्न व्यावसायिक इकाइयों और एप्लिकेशन प्रकारों के अनुरूप नीतियां बनाने की अनुमति देता है।
  रिलीज़ रिलीज़ की गति बढ़ाने के लिए, IS विशेषज्ञों को SCA टूल का उपयोग करके किसी संगठन में सुरक्षित विकास मानकों के विकास और कार्यान्वयन के लिए SCA टूल का उपयोग करके मैन्युअल परीक्षण से स्विच करना चाहिए। सूचना सुरक्षा विशेषज्ञ सुरक्षित विकास नीतियां स्थापित करते हैं जिन्हें कंपनी के सभी अनुप्रयोगों को संतुष्ट करना होगा (उदाहरण के लिए, ज्ञात महत्वपूर्ण कमजोरियों में से कोई भी जारी नहीं किया जाना चाहिए) और अधिक महत्वपूर्ण अनुप्रयोगों के लिए न्यूनतम सुरक्षा आवश्यकताओं को नियंत्रित करना। प्रभावी होने के लिए, एक सूचना सुरक्षा विशेषज्ञ को एससीए द्वारा प्रदान किए गए उपकरणों का उपयोग करने सहित, अपनाई गई नीतियों के लचीले प्रबंधन की आवश्यकता होती है।
• सुरक्षा पेशेवरों और CISO के लिए रणनीतिक जोखिम रिपोर्ट प्रदान करें।
  सीआईएसओ को इस तरह से प्रक्रिया को व्यवस्थित करना चाहिए ताकि पहचानी गई कमजोरियों को ठीक करने में लगने वाले समय को कम किया जा सके। अतीत में, सूचना सुरक्षा विशेषज्ञों ने विभिन्न स्रोतों से जोखिमों और कमजोरियों के बारे में जानकारी एकत्र की या बस कुछ नहीं किया। आज, एक सूचना सुरक्षा विशेषज्ञ सीआईएसओ और विकास टीमों के लिए तैयार रिपोर्ट ("आउट ऑफ द बॉक्स") प्राप्त कर सकते हैं जो पहचान किए गए जोखिमों का वर्णन करते हैं।

समीक्षा में विक्रेताओं को शामिल करने के लिए मानदंड

फॉरेस्टर में इस बेंचमार्किंग विश्लेषण में 10 विक्रेता शामिल थे: फ्लेक्सरा, एफओएसएसए, गिटलैब, जेफ्रॉग, स्नेक, सोनाटाइप, सिनोप्सिस, वेराकोड, व्हाइटहैट सिक्योरिटी और व्हाइटसोर्स।

इन विक्रेताओं में से प्रत्येक के पास है:

1. एंटरप्राइज़ वर्ग का एक पूर्ण विकसित SCA- उपकरण। सभी सूचीबद्ध विक्रेता सूचना सुरक्षा पेशेवरों के लिए उपयुक्त SCA क्षमताओं की एक श्रृंखला प्रदान करते हैं। भाग लेने वाले निर्माताओं को निम्नलिखित कार्यक्षमता में से अधिकांश "बॉक्स से बाहर" पेश करने की आवश्यकता थी:
   
   
   • ओपन सोर्स सॉफ्टवेयर (ओपन सोर्स) में लाइसेंसिंग जोखिम और कमजोरियों को दूर करने के लिए सिफारिशें प्रदान करने की क्षमता,
   • एसडीएलसी स्वचालन उपकरण में एकीकृत करने की क्षमता,
   • सक्रिय भेद्यता प्रबंधन प्रदान करें
   • नीतियों को संपादित करने और बनाने की क्षमता,
   • ओपन सोर्स सॉफ्टवेयर में स्पष्ट जोखिम रिपोर्ट प्रदान करने की क्षमता।
2. SCA से $ 10 मिलियन से अधिक का वार्षिक राजस्व अकेले प्रदान करता है।
3. फॉरेस्टर ग्राहकों से ब्याज या सिफारिशों की उपस्थिति। अन्य मामलों में, फॉरेस्टर के निर्णय के अनुसार, भाग लेने वाला विक्रेता अपने उत्पादों की तकनीकी विशेषताओं और बाजार पर महत्वपूर्ण उपस्थिति के कारण सूची में इसके शामिल होने की गारंटी दे सकता है।

फॉरेस्टर वेव ™ रिपोर्ट लीडर्स, स्ट्रॉन्ग परफॉर्मर्स, कंटेस्टेंट्स और चैलेंजर्स को हाइलाइट करती है। रिपोर्ट बाजार में अग्रणी विक्रेताओं का मूल्यांकन है और विक्रेताओं के पूर्ण परिदृश्य का गठन नहीं करता है। SCA ^लिंक पर अन्य फॉरेस्टर रिपोर्ट से बाजार के बारे में अधिक जानकारी प्राप्त की जा सकती है।

फॉरेस्टर वेव मेथोडोलॉजी

फॉरेस्टर वेव रिपोर्ट प्रौद्योगिकी बाजार में सॉफ्टवेयर अधिग्रहण विकल्पों पर विचार करने वाले खरीदारों के लिए एक मार्गदर्शिका है। सभी तुलना प्रतिभागियों के लिए एक समान प्रक्रिया की पेशकश करने के लिए, फॉरेस्टर भाग लेने वाले विक्रेताओं का मूल्यांकन करते समय फॉरेस्टर वेव ™ मेथोडोलॉजी गाइड का अनुसरण करता है।

रिपोर्ट मूल्यांकन किए गए निर्माताओं की सूची बनाने के लिए प्रारंभिक अध्ययन करती है। विक्रेताओं का प्रारंभिक पूल चयन मानदंडों के आधार पर संकुचित होता है और इसे अंतिम सूची में शामिल किया जाता है। फिर, उत्पादों और रणनीतियों के बारे में विस्तृत जानकारी ग्राहकों के साथ प्रश्नावली, प्रदर्शन / ब्रीफिंग, समीक्षा / साक्षात्कार के माध्यम से एकत्र की जाती है। यह इनपुट डेटा, विशेषज्ञ के अनुसंधान और बाजार के अपने ज्ञान के साथ, रेटिंग प्रणाली द्वारा विक्रेताओं का मूल्यांकन करने के लिए उपयोग किया जाता है जिसमें प्रत्येक प्रतिभागी की दूसरों के साथ तुलना की जाती है।
फॉरेस्टर प्रत्येक रिपोर्ट के शीर्षक में फॉरेस्टर वेव की प्रकाशन तिथि (तिमाही और वर्ष) को स्पष्ट रूप से इंगित करता है। इस फॉरेस्टर वेव अध्ययन में भाग लेने वाले विक्रेताओं का मूल्यांकन 01/28/2019 तक फॉरेस्टर द्वारा प्रदान की गई सामग्रियों के आधार पर किया गया था, इस समय के बाद कोई अतिरिक्त सामग्री स्वीकार नहीं की गई थी।

रिपोर्ट प्रकाशित करने से पहले, फॉरेस्टर विक्रेताओं को अध्ययन की सटीकता का मूल्यांकन करने के लिए अध्ययन के परिणामों का अध्ययन करने के लिए कहता है। फॉरेस्टर वेव आरेख में गैर-भाग लेने वाले के रूप में चिह्नित निर्माता मानदंडों को पूरा करते हैं और रिपोर्ट में शामिल किए जा सकते हैं, लेकिन अध्ययन में भाग लेने या केवल आंशिक रूप से भाग लेने से इनकार कर दिया। उनका मूल्यांकन फॉरेस्टर वेव ™ और फॉरेस्टर न्यू वेव ™ के अनुसार मूल्यांकन किया जाता है और अधूरा भागीदारी वेंडर पॉलिसी के साथ, उनकी स्थिति प्रतिभागी विक्रेताओं की स्थिति के साथ प्रकाशित की जाती है।

तुलना अवलोकन

1. वर्तमान विक्रेता प्रस्ताव
   
   फॉरेस्टर वेव चार्ट के ऊर्ध्वाधर अक्ष पर प्रत्येक विक्रेता की स्थिति वर्तमान प्रस्ताव के आकर्षण को इंगित करती है। इस तरह के समाधान के लिए मुख्य मानदंड लाइसेंस जोखिम प्रबंधन, भेद्यता निर्धारण क्रियाएं, सक्रिय भेद्यता प्रबंधन, नीति प्रबंधन, एसडीएलसी एकीकरण, कंटेनर स्कैनिंग और सर्वर रहित स्कैनिंग, साथ ही साथ अंतर्निहित रणनीतिक रिपोर्टिंग क्षमताएं हैं।
2. रणनीति
   
   क्षैतिज अक्ष पर स्थान विक्रेता रणनीति की स्थिरता को इंगित करता है। फॉरेस्टर ने उत्पाद रणनीति, बाजार संवर्धन के दृष्टिकोण, उपयोगकर्ताओं और वितरकों के लिए प्रशिक्षण की उपलब्धता का मूल्यांकन किया।
3. बाजार की उपस्थिति
   
   बाजार में विक्रेताओं की उपस्थिति का आकलन आरेख में सर्कल के आकार द्वारा दर्शाया गया है और प्रत्येक विक्रेता, कंपनी की विकास दर और लाभप्रदता के लिए उत्पाद प्रतिष्ठानों की मात्रा को दर्शाता है।

अनुवादक का नोट: निम्न तालिका फॉरेस्टर विशेषज्ञ रेटिंग और वज़न को सारांशित करती है, जिसके आधार पर एससीए प्रदाता फ़ॉरेस्टर "लहरों" पर स्थित हैं। हम अनुमानित संकेतकों की विस्तृत व्याख्या नहीं पा सके, हालांकि, कार्यप्रणाली की निम्नलिखित विशेषताओं पर ध्यान देना महत्वपूर्ण है:

1. फॉरेस्टर वेट इस विश्लेषणात्मक एजेंसी के ग्राहकों (क्लाइंट) के लिए उनके महत्व के अनुसार निर्धारित किए गए थे, इसलिए उन कंपनियों के लिए जो रुचि रखते हैं, सबसे पहले, एससीए समाधान की विशिष्ट कार्यक्षमता, विक्रेताओं की रेटिंग उस प्रस्तुत से काफी भिन्न हो सकती है।
2. बाजार की उपस्थिति संकेतक में शून्य के बराबर गुणांक है, और केवल जानकारीपूर्ण है, इसका मतलब है कि इस सूचक की अंतिम संख्या केवल विक्रेता के बिंदु (सर्कल) के आकार को प्रभावित करती है, न कि इसकी ऊर्ध्वाधर और क्षैतिज स्थिति, अर्थात्। रेटिंग और नेताओं में शामिल होने को प्रभावित न करें।

वेंडर प्रोफाइल

विश्लेषण से प्रत्येक विक्रेता की निम्न ताकत और कमजोरियों का पता चला।

नेताओं (शीर्ष)

व्हाइटस्रोइट प्राथमिकता के माध्यम से जोखिमों को खत्म करने के लिए आवश्यक समय को कम कर देता है। व्हाइटसोर्स ने हाल ही में एक स्थिर स्कैन के माध्यम से कमजोरियों को प्राथमिकता देने की क्षमता पेश की, यह देखने के लिए कि क्या किसी घटक का कमजोर हिस्सा सीधे आवेदन द्वारा आमंत्रित किया गया है। यदि नहीं, तो भेद्यता की प्राथमिकता कम हो जाती है। एक अन्य अपेक्षाकृत हाल की संभावना कंपनी के नीति का अनुपालन करने वाले संस्करण के लिए एक घटक को अद्यतन करने के लिए अनुरोधों (पुल अनुरोध) के निर्माण के माध्यम से कमजोरियों का स्वत: उन्मूलन है।

उपयोगकर्ता बड़ी संख्या में भाषाओं के समर्थन और ग्राहक सहायता की गुणवत्ता की सराहना करते हैं, लेकिन ध्यान दें कि उत्पाद बेहतर रूप से सकरात्मक निर्भरता की कल्पना कर सकता है। व्हाइटसोर्स समाधान में बहुत कमियां हैं, लेकिन परियोजना में प्रयुक्त घटकों की सूची (सामग्री या बीओएम) की संकलन के लिए कार्यक्षमता उम्मीदों पर खरा नहीं उतरती है। व्हाइटसोर्स उन कंपनियों के लिए अच्छी तरह से अनुकूल है, जिन्हें एसडीएलसी के शुरुआती चरण में स्कैन करने की आवश्यकता होती है और वे खतरों को प्राथमिकता देने और स्वचालित रूप से समाप्त करने के लिए एक समाधान की तलाश में हैं।

सिनॉप्सिस बाइनरी स्कैनिंग और रिपोर्टिंग के माध्यम से ब्लैक डक पर कैपिटल करता है। Synopsys ने इसके समाधान की कार्यक्षमता को ब्लैक डक (ब्लैक डक हब और प्रोटबोज़ SC) की कार्यक्षमता के साथ जोड़ा। हालांकि, लाइसेंसिंग आवश्यकताओं के अनुपालन के अधिक व्यापक विश्लेषण के लिए, उपयोगकर्ता ब्लैक डक प्रटेक्स और ब्लैक डक का भी उपयोग कर सकते हैं। उदाहरण के लिए, आप दावा किए गए लाइसेंस के बीच अंतर का विश्लेषण कर सकते हैं, लेकिन आपको इसके लिए दो अलग-अलग टूल का उपयोग करने की आवश्यकता होगी। Synopsys में इंटरैक्टिव और स्थिर स्कैनिंग के लिए एक और कार्यक्षमता भी है - कंपनी ने हाल ही में पोलारिस प्लेटफ़ॉर्म जारी किया है, जो पूर्व-रिलीज़ स्कैनिंग टूल से सभी डेटा को संयोजित करने के लिए डिज़ाइन किया गया है।

उपयोगकर्ता विश्वास करते हैं Synopsys कोड स्कैनिंग उत्पादों, जो तेज और विश्वसनीय हैं, खतरों को खत्म करने के लिए विस्तृत सिफारिशें प्रदान करते हैं, लेकिन झूठे सकारात्मक परिणामों के स्तर को उच्च मानते हैं। Synopsys अच्छी नीति प्रबंधन, SDLC समाधान, विश्वसनीय सक्रिय भेद्यता प्रबंधन के साथ एकीकरण, परियोजना विनिर्देशों (बीओएम) की तुलना करने के कार्य सहित अवसर प्रदान करता है, जहां घटक परिवर्तन हाइलाइट किए जाते हैं। हालाँकि, Synopsys उम्मीदों पर खरा नहीं उतरता है, जब यह अन्य प्रमुख विक्रेताओं द्वारा दी गई कमजोरियों को स्वचालित रूप से ठीक करने की क्षमता की बात आती है। Synopsys उन कंपनियों के लिए अच्छी तरह से अनुकूल है जिनके अनुप्रयोग विकास टीमों के पास SDLC एकीकरण आवश्यकताएं स्पष्ट हैं और विभिन्न प्रकार के अनुप्रयोगों के लिए विभिन्न नीतियों की आवश्यकता होती है।

दमदार अदाकारी

Snyk संस्करणों को अपडेट करने और फ़िक्स प्रदान करने के लिए डेवलपर स्क्रिप्ट पर ध्यान केंद्रित करता है। कंपनी का लक्ष्य डेवलपर्स को कमजोरियों को ठीक करने की अनुमति देना है और इसके परिणामस्वरूप, न केवल अपडेट अनुरोध बनाने के माध्यम से उन्हें ठीक करने की संभावना प्रदान करता है, बल्कि कस्टम फिक्स के साथ काम करने की अनुमति देता है जब रिपॉजिटरी में घटक का कोई स्वीकार्य संस्करण नहीं होता है। Snyk डेवलपर्स को एक ग्राफ के रूप में अनुरोधों के दृश्य के साथ प्रदान करता है जो रिश्तों और संबंधित कमजोरियों को प्रदर्शित करता है, जो डेवलपर्स को यह समझने में मदद करता है कि कुछ सुधारों की आवश्यकता क्यों है।

उपयोगकर्ताओं ने डेवलपर्स की जरूरतों पर Snyk के फोकस की सराहना की, जिसमें सरल SDLC एकीकरण, स्वत: भेद्यता सुधार शामिल हैं, जिसमें बिना किसी कोड कोड के कस्टम पैचिंग और निर्भरता विज़ुअलाइज़ेशन शामिल हैं। हालांकि, डेवलपर्स की जरूरतों को पूरी तरह से पूरा करने के लिए समाधान के लिए, यह आवश्यक है कि Snyk न केवल प्रोग्राम कोड में कमजोरियों का पता लगाए, बल्कि प्रोग्राम कोड के उपयोग किए गए सॉफ़्टवेयर घटकों के सभी संस्करणों के बारे में भी जानकारी प्रदान करे। Snyk डेवलपर्स की जरूरतों पर अधिक ध्यान देता है और सूचना सुरक्षा विशेषज्ञों की जरूरतों के लिए कम है, इसलिए, एक सिफारिश के रूप में, यह ध्यान दिया जाना चाहिए कि Snyk की अंतर्निहित ऑडिट और रिपोर्ट जनरेशन क्षमताओं की कार्यक्षमता का विस्तार करना आवश्यक है। Snyk उन कंपनियों के लिए एकदम सही है, जिनके पास विकास के स्तर पर सॉफ़्टवेयर कोड में स्वचालित रूप से कमजोरियों को दूर करने का कार्य है।

Sonatype प्रदर्शन को बेहतर बनाने के लिए Nexus प्लेटफ़ॉर्म को विकसित करना जारी रखता है। Sonatype अपने भेद्यता डेटाबेस को समृद्ध करने के लिए Nexus रिपॉजिटरी का उपयोग करता है। सोनटाइप अनुसंधान टीम आगे खोजी गई नई कमजोरियों से संबंधित डेटा, उन्हें कैसे हल करें, और सेटिंग्स बदलने के लिए सिफारिशें, घटकों को अपडेट करने और प्रोग्राम कोड बदलने के लिए सिफारिशों के बारे में जानकारी देती है। Nexus प्लेटफ़ॉर्म में विभिन्न फ़ंक्शंस के लिए कई लाइसेंस हैं - DepShield, IQ Server, Nexus Auditor, Nexus Firewall, Nexus Lifecycle, Nexus Repository और Nexus Vulnerability Scanner.To, Nexus प्लेटफ़ॉर्म उत्पादों का उपयोग करने का सबसे अधिक लाभ उठाते हैं, आपको इन घटकों का सही संयोजन चुनने की आवश्यकता है।

इस समाधान के उपयोगकर्ता, निम्न सकारात्मक स्तर, नेक्सस रिपॉजिटरी के साथ एकीकरण और उपयोगकर्ता समर्थन का उच्च स्तर नोट करते हैं। फिर भी, इस बात पर भी जोर दिया जाता है कि सोनटाइप समाधानों को संक्रमणीय निर्भरता पर नज़र रखने के लिए कार्यक्षमता के शोधन पर अधिक ध्यान देने की आवश्यकता है, साथ ही स्कैन परिणामों के आधार पर रिपोर्टिंग रूपों के प्रावधान भी हैं। इसके अलावा, मूल्य निर्धारण और लाइसेंसिंग नीतियां उत्पाद उपयोगकर्ताओं के लिए कठिनाइयों का कारण बनती हैं जब विभिन्न प्रकार के कंपनी उत्पादों से सही समाधान चुनते हैं।

यह समाधान उन कंपनियों के लिए ब्याज का होगा जो पहले से ही नेक्सस उत्पादों का उपयोग करते हैं, या जिन्हें झूठे-सकारात्मक स्कैन परिणामों की बहुत कम स्तर की आवश्यकता होती है।

दावेदार (प्रतिद्वंद्वियों)

व्हाइटहैट सिक्योरिटी अधिकतम गति प्राप्त करने के लिए मैन्युअल हस्तक्षेप के बिना एक SCA समाधान प्रदान करती है। व्हाइटहैट सिक्योरिटी को इस तथ्य के लिए जाना जाता है कि उनके विशेषज्ञ, उपयोगकर्ता को एक निर्णय भेजने से पहले स्कैन के परिणामों को झूठे-सकारात्मक स्कैन के स्तर को कम करने के लिए विश्लेषण करते हैं। व्हाइटहैट अब व्हाइटहैट प्रहरी एससीए मानक के अलावा सेंटिनल एससीए एसेंशियल का उपयोग करके पूरी तरह से स्वचालित समाधान की पेशकश करने में सक्षम है, जिसमें अभी भी सुरक्षा टीम सत्यापन परिणाम हैं।

व्हाइटहैट प्रहरी आवश्यक एक नया समाधान है, ताकि उपयोगकर्ताओं को मामूली खामियों का अनुभव हो सकता है। भूमिका-आधारित पहुंच प्रणाली की कमजोरियों, कमजोर निर्भरता की पहचान करने में कठिनाइयों का उल्लेख किया गया है, लेकिन भेद्यता की जानकारी के विवरण की बहुत सराहना की जाती है। व्हाइटहैट सुरक्षा एक सार्वभौमिक स्कैनर (SCA, SAST, DAST) के रूप में तैनात अपने उत्पाद को बेहतर बनाने के लिए सक्रिय रूप से काम कर रही है।

व्हाइटहैट सुरक्षा उन कंपनियों के लिए सबसे उपयुक्त है जिनके डेवलपर्स परिपक्वता स्तर में भिन्न होते हैं: कुछ को गति की आवश्यकता होती है और उन्हें उत्पाद द्वारा पेश की जाने वाली सुविधाओं का स्वतंत्र रूप से उपयोग करने के लिए पर्याप्त अनुभव होता है, दूसरों को विक्रेता की तरफ से सुरक्षा टीम द्वारा प्रतिक्रिया के परिणामों को मैन्युअल रूप से देखने के लिए अतिरिक्त मदद की आवश्यकता होती है।

फ्लेक्सरा सुरक्षा अनुसंधान में अपने प्रतिद्वंद्वियों से अलग है। एक Flexera Research Group, Secunia, Flexera उपयोगकर्ताओं को भेद्यता के बारे में जानकारी प्रदान करने और राष्ट्रीय भेद्यता डेटाबेस (NVD) में आधिकारिक तौर पर दर्ज होने से पहले इससे निपटने के तरीके के बारे में जानकारी प्रदान करके नई कमजोरियों का शीघ्र अन्वेषण कर रहा है। इस समूह की सफलता को सटीकता और प्रतिक्रिया समय के आधार पर मापा जाता है, सभी कमजोरियों की रिपोर्ट एनवीडी में प्राप्त की गई और इसमें प्रकाशित की गई। कमजोरियों कि Secunia का पता Flexera FlexNet कोड इनसाइट में प्रदर्शित होता है और उन्हें Secunia के रूप में पहचाना जाता है।
हालांकि Flexera उपयोगकर्ता उपयोगकर्ता इंटरफ़ेस और उपयोगी स्वचालन सुविधाओं के लचीलेपन की पुष्टि करते हैं। इसी समय, वे यह भी रिपोर्ट करते हैं कि सिस्टम के साथ काम करने के लिए प्रलेखन और प्रशिक्षण एकरूप है, और उन्हें तकनीकी सहायता सेवा के स्तर के साथ-साथ कार्यान्वयन के दौरान सिस्टम समर्थन द्वारा पूरक होने की आवश्यकता है, और कार्यान्वित एपीआई में सीमित कार्यक्षमता है।

वेराकोड अपने दो उत्पादों का अलग-अलग उपयोग प्रदान करता है। 2018 में, वेराकोड ने अपने वेराकोड सॉफ्टवेयर कम्पोजीशन एनालिसिस सॉल्यूशन के पूरक के लिए SourceClear का अधिग्रहण किया। SourceClear सॉफ़्टवेयर संरचना विश्लेषण एक एजेंट-आधारित स्कैनिंग उपकरण है, और Veracode सॉफ़्टवेयर संरचना विश्लेषण क्लाउड-आधारित सास समाधान है। इन उत्पादों की कार्यक्षमता अभी तक संयुक्त नहीं हुई है - उदाहरण के लिए, एससीए निष्पादन सास समाधान का उपयोग करना संभव है - लेकिन स्कैनिंग एजेंट का उपयोग नहीं करना। वेराकोड अपने एससीए उत्पादों के अतिरिक्त स्थिर और गतिशील पूर्व-रिलीज़ स्कैनिंग भी प्रदान करता है।

Veracode SourceClear Software Composition Analysis, , API. , , , Veracode , .

Veracode , Veracode, . Veracode , SCA , Veracode.

Challengers ()

GitLab , , . GitLab 2017 , , SCA. , SCA, , . , . , . , GitLab . , , .

GitLab . , . , .

GitLab , , GitLab open source .

FOSSA open source . FOSSA Compliance , , . , FOSSA , , open source . FOSSA open source, , .

, , , FOSSA , , . FOSSA FOSSA . FOSSA open source , , , , , . open source , FOSSA , .

FOSSA , SCA- .

JFrog , Artifactory. JFrog XRay , , (watches), , . JFrog.

JFrog , . : JFrog Artifactory, .

JFrog XRay , JFrog Artifactory .

.
, Forrester Gartner : Forrester SAST DAST SCA-, Gartner Magic Quadrant for Application Security Testing SCA , SAST DAST.
? , SCA (, , ) SCA- *AST ?

अनुवादक:
व्याचेस्लाव वोवकोगन, क्रॉस टेक्नोलॉजीज जेएससी
डारिया ओरेशकिना, वेब कंट्रोल