Code Analysis Tool

Lo strumento mappa file sorgente, dipendenze, licenze e metadati politici in più linguaggi e genera scoperte strutturate con punteggi di rischio e linee guida di remediation.

Supporta diversi ecosistemi (npm/Gradle, PyPI, Go modules, NuGet, RubyGems e altri) e può essere eseguito localmente o in CI. Identifica difetti in modelli di codice, dipendenze obsolete, ambiguità di licenze e licenze non conformi, fornendo raccomandazioni pratiche per la remediation e l’applicazione delle policy.

Raccoglie inoltre attribuzioni per file, tracciamento delle dipendenze e identificatori SPDX per facilitare gli audit.

Concettualmente analizza i manifest di pacchetto (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, ecc.) e scandaglia il codice per costruire un grafo di dipendenze. Applica un insieme di regole che definiscono controlli di policy, soglie di qualità e restrizioni di licenza, calcolando quindi per ogni trovato un punteggio di rischio in base alla gravità, all’esposizione e all’impatto. L’output strutturato include report JSON e SARIF per integrazione con dashboard di sicurezza e sistemi di ticketing. Supporta scansioni incrementali e caching per repository di grandi dimensioni.

Gli utenti includono sviluppatori, ingegneri della sicurezza, uffici OSS e team legali/compliance che necessitano di intuizioni tempestive e prioritarie. Il valore risiede nel rilevamento precoce dei rischi, nelle remediation basate su prove e nei report di governance ripetibili. Consente di quantificare l’esposizione open source, monitorare la remediation nel tempo e dimostrare conformità durante revisioni dei fornitori e audit esterni. Funzionalità chiave: scanning del repository, parsing di manifest indipendente dalla lingua, riconoscimento delle licenze conforme SPDX, punteggio di rischio per file, generazione di grafi di dipendenze e opzioni di esportazione (JSON, SARIF, CSV). Casi d’uso: conformità licenze per nuove dipendenze, valutazioni di superficie di vulnerabilità in pull request e governance per programmi OSS. I team possono personalizzare pacchetti di regole, liste di esclusione e canali di notifica, e pianificare scansioni automatizzate per visibilità continua.