Code Analysis Tool

La herramienta inventaría archivos fuente, dependencias, licencias y metadatos de políticas en varios lenguajes y genera hallazgos estructurados con puntuaciones de riesgo y guías de remediación.

Admite múltiples ecosistemas (npm/Gradle, PyPI, Go modules, NuGet, RubyGems, entre otros) y puede ejecutarse localmente o en CI. Identifica defectos en patrones de código, dependencias obsoletas, ambigüedades de licencias y licencias no conformes, proporcionando recomendaciones accionables para la remediación y la aplicación de políticas.

También registra atribución por archivo, linaje de dependencias e identificadores SPDX para facilitar auditorías.

Conceptualmente analiza manifests de paquetes (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, etc.) y escanea el código para construir un grafo de dependencias. Aplica un conjunto de reglas que define controles de política, umbrales de calidad y restricciones de licencia, y calcula un puntaje de riesgo para cada hallazgo basado en severidad, alcance y exposición. Puede emitir salidas estructuradas, incluyendo informes JSON y SARIF, para integraciones con paneles de seguridad y sistemas de tickets. Soporta escaneos incrementales y caching para manejar repos grandes de forma eficiente.

Usuarios incluyen desarrolladores, ingenieros de seguridad, oficinas de programas OSS y equipos legales/compliance que requieren ideas auditable y priorizadas a tiempo. El valor reside en detección temprana de riesgos, remediación basada en evidencia y reportes de gobernanza reproducibles. Permite cuantificar la exposición Open Source, rastrear la remediación a lo largo del tiempo y demostrar cumplimiento durante revisiones de proveedores y auditorías externas. Funciones clave: escaneo de repositorios, parsing de manifiestos independiente del lenguaje, reconocimiento de licencias alineado con SPDX, puntuación de riesgo por archivo, generación de grafo de dependencias y opciones de exportación (JSON, SARIF, CSV). Casos de uso: verificación de cumplimiento de licencias para nuevas dependencias, evaluaciones de superficie de vulnerabilidades en pull requests y informes de gobernanza para programas OSS. Equipos pueden personalizar bundles de reglas, listas de ignorados y canales de notificación, y programar escaneos automatizados para visibilidad continua.