Code Analysis Tool

Das Tool inventarisiert Quellcode-Dateien, Abhängigkeiten, Lizenzen und politikbezogene Metadaten über mehrere Sprachen hinweg und erzeugt strukturierte Findings mit Risikowerten und Remediierungsanleitungen.

Es unterstützt mehrere Ökosysteme wie npm/Gradle, PyPI, Go-Module, NuGet, RubyGems und mehr; kann lokal oder in CI laufen. Es identifiziert Defekte in Code-Mustern, veraltete Abhängigkeiten, Lizenz-Uneindeutigkeiten und nicht-konforme Lizenzen, und liefert umsetzbare Empfehlungen zur Behebung und Durchsetzung von Richtlinien.

Zudem erfasst es per-Datei Attribution, Abhängigkeitslinien und SPDX-Identifikatoren, um Audits zu erleichtern.

Konzeptionell parst es Paket-Manifestdateien (package.json, pom.xml, build.gradle, pyproject.toml, go.mod usw.) und scannt Quellcode, um ein Abhängigkeitsdiagramm zu erstellen. Es wendet einen Regeln­satz an, der Policy-Prüfungen, Qualitäts-Tore und Lizenzbeschränkungen definiert, und berechnet dann für jeden Fund einen Risikowert basierend auf Schwere, Reichweite und Exposition. Das Tool kann strukturierte Ausgaben wie JSON-Berichte und SARIF für Integrationen mit Sicherheits-Dashboards und Ticketing-Systemen ausgeben. Es unterstützt inkrementelle Scans und Caching, um große Repositorien effizient zu verwalten.

Zu den Nutzern gehören Entwickler, Sicherheitsingenieure, OSS-Programmbüros und Rechts-/Compliance-Teams, die zeitnahe, priorisierte auditable Einblicke benötigen. Der Wert liegt in der frühzeitigen Risikobewertung, evidenzbasierter Remediation und wiederholbarer Governance-Berichterstattung. Es ermöglicht Teams, Open-Source-Exposition zu quantifizieren, Remediation über die Zeit zu verfolgen und Compliance gegenüber Vendor-Reviews und externen Audits nachzuweisen. Kernfunktionen umfassen Repository-Scanning, sprachunabhängiges Manifest-Parsing, Lizenz-Erkennung mit SPDX-Ausrichtung, pro-Datei Risikobewertung, Erstellung eines Abhängigkeits-Diagramms und Exportoptionen (JSON, SARIF, CSV). Anwendungsfälle umfassen Lizenz-Compliance-Prüfungen für neue Abhängigkeiten, Sicherheitsbewertungen in Pull Requests und Governance-Berichte für Open-Source-Programme. Teams können Regel-Sets, Ignorierlisten und Benachrichtigungskanäle anpassen (und automatisierte Scans planen) um kontinuierliche Sichtbarkeit zu erhalten.