開発者はオープンソースコンポーネントを使用して膨大な量の作業をオフロードすることにより、非常に速いペースでソフトウェアを構築する権限を与えられています。これは大きな恩恵ですが、これらの依存関係からセキュリティ問題を追跡することは、私たちのソフトウェアの主要な部分であるため、より重要になります。
これは、ビルドパイプラインに ソフトウェア構成解析 (Software Composition Analysis, SCA) を導入することで可能です。SCA は、既知のデータベースに対する依存関係のセキュリティを評価する自動化されたプロセスです。
このラボでは、Safety という Python アプリケーション向けのフリーでオープンソースの SCA ツールを用います。
このラボを修了すると、次のことができるようになります。