Code Analysis Tool

Verktøyet kartlegger kildefiler, avhengigheter, lisenser og policy-relatert metadata på tvers av språk og produserer strukturerte funn med risikoscores og avhjøringsveiledning.

Det støtter flere økosystemer som npm/Gradle, PyPI, Go-moduler, NuGet, RubyGems og flere; kan kjøres lokalt eller i CI. Det identifiserer feil i kodemønstre, utdaterte avhengigheter, lisens-uklarheter og ikke-etterlevelse av lisenser og gir håndterbare anbefalinger for avhjening og policyhåndhevelse.

Det fanger også per-fil attribution, avhengighetslinjer og SPDX-identifikatorer for å lette revisjoner.

Konsseptuelt analyserer det pakkemanifester (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, osv.) og skanner koden for å bygge et avhengighetsgraf. Det bruker et regelsett som definerer policy-kontroller, kvalitetsporter og lisensbegrensninger, og beregner deretter en risikoscore per funn basert på alvorlighetsgrad, rekkevidde og eksponering. Verktøyet kan avgi strukturerte utdata som JSON-rapporter og SARIF for integrasjon med sikkerhetstavler og ticketing-systemer. Inkremente skanninger og caching støttes for å håndtere store repositories effektivt.

Brukere inkluderer utviklere, sikkerhetsingeniører, OSS-programkontorer og juridiske/compliance-team som trenger tidsriktige, prioriterte auditable innsikter. Verdi ligger i tidlig risikodeteksjon, bevisbasert utbedring og gjentakbar governance-rapportering. Det gjør det mulig å kvantifisere Open Source-eksponering, følge opp utbedringer over tid og dokumentere overholdelse ved leverandøroversyn og eksterne revisjoner. Nøkkelfunksjoner inkluderer repository-skanning, språk-uavhengig manifest-parsing, lisensgjenkjenning i tråd med SPDX, per-fil risikoevaluering, generering av avhengighetsgraf og eksportalternativer (JSON, SARIF, CSV). Bruksområder inkluderer lisens-samsvar ved nye avhengigheter, sårbarhetsvurdering i pull requests og governance-rapporter for OSS-programmer. Team kan tilpasse regelpakker, ignoringslister og varslingskanaler samt planlegge automatiserte skanninger for kontinuerlig synlighet.