Analyse des dépendances (SCA)

​

Aperçu

• Fonctionnement: l’analyse des dépendances, également appelée analyse de la composition logicielle (SCA), identifie automatiquement les vulnérabilités connues dans les dépendances et bibliothèques tierces de votre projet. Elle scanne les manifestes de dépendances (tels que package.json, requirements.txt et pom.xml) et fournit des informations détaillées, notamment les identifiants CVE, les scores CVSS et des recommandations de remédiation.
• Public concerné: cette fonctionnalité s’adresse aux équipes de sécurité, aux développeurs, aux ingénieurs DevOps et à toute personne chargée de maintenir des applications sécurisées. Elle est particulièrement utile aux équipes qui gèrent de nombreuses dépendances tierces et doivent se tenir informées des vulnérabilités susceptibles d’affecter leurs applications.

​

Principales fonctionnalités et avantages

• Couverture complète des écosystèmes: scanne les dépendances de plus de 25 langages et écosystèmes, notamment Python, JavaScript/Node.js, Java, Go, Ruby, PHP, C# et Swift

• Renseignements détaillés sur les vulnérabilités: fournit notamment :
  • Identifiants CVE et autres identifiants de vulnérabilité
  • Scores CVSS et niveaux de sévérité (critique, élevée, moyenne, faible)
  • Versions du package concernées et correctifs disponibles
  • Descriptions détaillées des vulnérabilités et références
  • Liens vers les avis de sources telles que GitHub Advisory Database, NVD et, lorsqu’ils sont disponibles, les avis de sécurité des fournisseurs
  • Dates de publication et liens externes
• Logique de scan intelligente : détecte automatiquement la présence de fichiers de dépendances et optimise les performances du scan

​

Instructions de configuration

​

Étapes de configuration

requirements.txt
Pipfile
Pipfile.lock
pyproject.toml
poetry.lock

package.json
package-lock.json
yarn.lock
pnpm-lock.yaml

pom.xml
build.gradle
build.gradle.kts
gradle.lockfile

go.mod
go.sum

Gemfile
Gemfile.lock

composer.json
composer.lock

*.csproj
packages.config

Package.swift
Package.resolved

​

Guide d’utilisation

​

Principaux workflows

1. Détection automatique : le système identifie automatiquement les fichiers de dépendances dans le répertoire de votre projet
2. Scan complet : analyse tous les fichiers de dépendances pris en charge et les compare aux bases de données de vulnérabilités
3. Traitement des vulnérabilités : traite les résultats du scan et les enrichit avec des renseignements de sécurité supplémentaires
4. Création des problèmes : crée un problème de sécurité traçable pour chaque vulnérabilité détectée
5. Rapports : génère des rapports complets sur les vulnérabilités avec des recommandations de remédiation exploitables

​

Filtres de la vue Dépendances

• Recherche: recherchez les problèmes par CVE, nom de paquet ou résumé
• Sévérité: limitez les résultats aux niveaux critique, élevé, moyen ou faible
• Statut du SLA: affichez les problèmes de dépendances en retard ou ayant fait l’objet d’une escalade lorsqu’un SLA SCA s’applique
• Écosystème : limitez les résultats à un écosystème de paquets donné
• Projet : filtrez les résultats sur un projet par son nom (seuls les projets auxquels vous avez accès apparaissent)
• Licence : filtrez les résultats par licence de dépendance
• Type de dépendance : affichez les dépendances directes, transitives, de développement ou facultatives
• Accessibilité: affichez les problèmes accessibles, inaccessibles, inutilisés ou encore en cours d’analyse (voir Analyse d’accessibilité)
• Correctif disponible: affichez uniquement les problèmes pour lesquels un correctif est connu

​

Exporter les dépendances au format CSV

​

Dépendances transitives

​

Types de dépendances

• Directe : le paquet vulnérable est une dépendance directe déclarée dans votre manifeste (par exemple, package.json ou pom.xml).
• Transitive : le paquet vulnérable est intégré indirectement par une autre dépendance.
• Développement : le paquet vulnérable est utilisé comme dépendance de développement (compilation, test ou outils) plutôt qu’à l’exécution.
• Facultative : le paquet vulnérable est marqué comme une dépendance facultative.

​

Construction du graphe de dépendances

1. Les dépendances directes sont lues dans vos manifestes (package.json, pom.xml, requirements.txt, go.mod, Gemfile, entre autres).
2. Les dépendances transitives sont résolues à partir des lockfiles (tels que package-lock.json, yarn.lock, poetry.lock et go.sum) et d’une nomenclature logicielle (SBOM) générée. Ces fichiers indiquent les versions exactes résolues et leurs relations parent-enfant.
3. En l’absence de lockfile, Corgea tente d’en générer un automatiquement pour les écosystèmes pris en charge, par exemple en résolvant les dépendances Python ou .NET, afin que les paquets transitifs puissent tout de même être analysés.

​

Vue arbre de dépendances

express@4.17.1 (direct)
├── lodash@4.17.15 (transitive)
└── qs@6.7.0 (transitive)
    └── side-channel@1.0.4 (transitive)

​

Écosystèmes pris en charge

​

Exemple de projet multi-écosystème

Enterprise Application:
├── backend/
│   ├── requirements.txt        ✓ Python dependencies
│   ├── pom.xml                 ✓ Java dependencies
│   └── go.mod                  ✓ Go dependencies
├── frontend/
│   ├── package.json            ✓ Node.js dependencies
│   └── package-lock.json       ✓ Lock file
├── mobile/
│   └── Gemfile                 ✓ Ruby dependencies
└── infrastructure/
    └── docker-compose.yml      ✓ Container dependencies

​

Répartition par sévérité

• Élevée: doit être traitée rapidement en raison de son impact important sur la sécurité
• Moyenne : doit être traitée lors des cycles de maintenance habituels
• Faible: problème mineur qui peut être traité ultérieurement

​

Analyse d’accessibilité

1. Le paquet est-il utilisé ? Corgea recherche les imports et les utilisations du paquet dans votre code. Un paquet déclaré mais jamais importé présente un risque beaucoup plus faible.
2. La fonction vulnérable est-elle accessible ? Pour les paquets utilisés, Corgea détermine si votre code appelle réellement les fonctions concernées par la vulnérabilité.

​

États d’accessibilité

• Accessible: votre code appelle la fonctionnalité vulnérable. Ces problèmes sont prioritaires, en particulier pour les dépendances directes.
• Inaccessible: le paquet est utilisé, mais les fonctions vulnérables ne sont pas appelées.
• Inutilisé: le paquet est déclaré, mais n’est pas utilisé dans votre code.
• En cours d’analyse: l’analyse d’accessibilité du problème n’est pas terminée.

​

Visualisation de l’accessibilité

​

Recommandations de correctifs

​

Analyse des licences

• Filtre de licence : dans la vue Dépendances, filtrez les problèmes par licence (voir Filtres de la vue Dépendances).
• Export CSV : les informations de licence sont incluses lorsque vous exportez les dépendances au format CSV.

​

Analyse d’images conteneurs

​

Détection de paquets malveillants

​

Bonnes pratiques

• Scans réguliers: activez le scan automatique pour détecter les nouvelles vulnérabilités dès leur divulgation
• Mises à jour des dépendances : mettez rapidement à jour les dépendances lorsqu’un correctif est disponible pour une vulnérabilité détectée
• Priorisation par sévérité : traitez en priorité les vulnérabilités de sévérité critique et élevée
• Évaluation des risques : déterminez si les vulnérabilités affectent réellement la surface d’attaque de votre application
• Hygiène des dépendances : examinez et supprimez régulièrement les dépendances inutilisées afin de réduire la surface d’attaque
• Verrouillage des versions : utilisez des numéros de version précis dans les fichiers de dépendances afin d’obtenir des résultats de scan cohérents
• Surveillance : configurez des alertes pour les nouvelles vulnérabilités découvertes dans vos dépendances
• Documentation : conservez une trace des risques acceptés et des décisions de remédiation

​

Dépannage