Software Composition Analysis (SCA)

Docs > コード分析 > Software Composition Analysis (SCA)

プレビューに参加してください！

Software Composition Analysis はプレビュー版です。

概要

Software Composition Analysis (SCA) は、npm などのパッケージマネージャーを通じてリポジトリにインポートされたオープンソースライブラリをスキャンし、既知の脆弱性を検出します。また、リポジトリ全体で使用されているライブラリのカタログを作成し、リスクのあるライセンスやサポート終了のライブラリ、脆弱性を特定することで、高品質で安全なコードベースを確保します。

SCA スキャンは、Datadog から直接実行するか、Code Analysis を使用して CI パイプラインで実行でき、本番環境に到達する前にライブラリの脆弱性を検出します。Datadog はまた、Datadog Application Security を介してランタイムでの検出も提供しています。

Software Composition Analysis のセットアップ

SCA は、以下の言語および技術におけるライブラリのスキャンをサポートしています。

まず、Code Analysis ページで Software Composition Analysis をセットアップするか、セットアップドキュメントをご覧ください。

ロックファイル

SCA はロックファイルに含まれるライブラリをスキャンします。以下のロックファイルがサポートされています。

パッケージマネージャー	ロックファイル
C# (.NET)	`packages.lock.json`
Go (mod)	`go.mod`
JVM (Gradle)	`gradle.lockfile`
JVM (Maven)	`pom.xml`
Node.js (npm)	`package-lock.json`
Node.js (pnpm)	`pnpm-lock.yaml`
Node.js (yarn)	`yarn.lock`
PHP (composer)	`composer.lock`
Python (pip)	`requirements.txt`, `Pipfile.lock`
Python (poetry)	`poetry.lock`
Ruby (bundler)	`Gemfile.lock`

Software Composition Analysis をソフトウェア開発ライフサイクルに統合

CI プロバイダー

SCAは、お好みのどのCIプラットフォームプロバイダー上でも実行できます。CIパイプラインでSCAをセットアップする方法については、プロバイダー固有のドキュメントを参照してください。

GitHub Actions

汎用 CI プロバイダー

検索結果のフィルタリング

Datadog Software Composition Analysis は、ソフトウェア開発ライフサイクル (SDLC) 全体にわたり、脆弱なライブラリを検出できます。Code Analysis は、リポジトリを直接スキャンして検出された結果を要約します。リポジトリおよびランタイムで検出されたすべての脆弱性を統合して表示するには、詳細について Application Security をご覧ください。

Datadog SCA を実行するように CI パイプラインを構成すると、Code Analysis Repositories ページでリポジトリごとに違反内容が要約されます。リポジトリをクリックすると、Software Composition Analysis による Library Vulnerabilities と Library Catalog の結果を分析できます。