sca专题
如何用SCA工具做好开源软件风险管理?
开源 · 三句半 开源风险难提防 管理策略多思量 SCA工具来帮忙 治理有方！ 随着开源软件被广泛应用，其带来的风险也日益凸显。往期内容我们探讨开源治理策略，其中风险管理成为了企业和开发者必须面对和解决的重要问题。本文将探讨开源软件的风险类型、风险管理策略，并讲述如何采用软件成分分析（SCA）等工具来做好开源风险管理。 开源治理中的风险类型 知识产权纠纷。开源
代码审计：Fortify SCA 代码审计神器.
什么是 Fortify SCA 代码审计工具 Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。Fortify 支持多种编程语言，包括
代码审计神器：Fortify SCA 保姆级教程
介绍 Fortify SCA（Software Security Center）是一款静态代码分析工具，由Micro Focus公司开发。它旨在帮助开发团队在软件开发过程中发现和修复安全漏洞和代码缺陷。 Fortify SCA通过对源代码进行静态分析，识别潜在的安全问题和软件缺陷，提供准确的警告和漏洞报告。它支持多种编程语言，包括Java、C/C++、C#等，可以用于各种类型的应用程序，包括W
IBM developerworks多媒体课堂 ——SCA
IBM developerworks多媒体课堂 服务组件架构(SCA)深入编程 https://www6.software.ibm.com/developerworks/cn/onlinecourse/websphere/scaprog/index.html 服务组件架构(SCA)介绍 https://www6.software.ibm.com/developerworks/cn/onli
「 安全工具介绍 」软件成分分析工具Black Duck，业界排名TOP 1的SCA工具
在现代的 DevOps 或 DevSecOps 环境中，SCA 激发了“左移”范式的采用。提早进行持续的 SCA 测试，使开发人员和安全团队能够在不影响安全性和质量的情况下提高生产力。前期在博文《「 网络安全常用术语解读 」软件成分分析SCA详解：从发展背景到技术原理再到业界常用检测工具推荐》中介绍了SCA的产生背景、技术原理及主流检测工具，本文结合博主对Black Duck工具的深度使用来展开
SOA for the Business Developer: Concepts, BPEL, and SCA
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出版、作者信息和本声明。否则将追究法律责任。 http://blog.csdn.net/topmvp - topmvp Service-Oriented Architecture (SOA) is a way of organizing software. If your companys development proje
【域适应】基于散度成分分析（SCA）的四分类任务典型方法实现
关于 SCA（scatter component analysis）是基于一种简单的几何测量，即分散，它在再现内核希尔伯特空间上进行操作。 SCA找到一种在最大化类的可分离性、最小化域之间的不匹配和最大化数据的可分离性之间进行权衡的表示；每一个都通过分散进行量化。 参考论文：Shibboleth Authentication Request 工具 MATLAB 方法实现 SCA变换实
【优化算法】正弦余弦算法（SCA）【含Matlab源码 1308期】
⛄一、获取代码方式 获取代码方式1： 完整代码已上传我的资源：【优化算法】正弦余弦算法（SCA）【含Matlab源码 1308期】 点击上面蓝色字体，直接付费下载，即可。 获取代码方式2： 付费专栏Matlab优化求解（初级版） 备注： 点击上面蓝色字体付费专栏Matlab优化求解（初级版），扫描上面二维码，付费29.9元订阅海神之光博客付费专栏Matlab优化求解（初级版），凭支付凭证，私
甲方安全建设之研发安全-SCA
前言 大多数企业或多或少的会去采购第三方软件，或者研发同学在开发代码时，可能会去使用一些好用的软件包或者依赖包，但是如果这些包中存在恶意代码，又或者在安装包时不小心打错了字母安装了错误的软件包，则可能出现供应链攻击。因此去识别采购或者自研项目中的软件包，来保证其版本足够新、不存在恶意代码是解决供应链的一项重要措施，而SCA（软件成分分析）可以帮助完成这一动作。 OpenSCA-cli 下载地
Tuscany SCA 引导和装配的过程
Tuscany SCA在运行的时候进行各种服务的装配，根据XML格式的SCA元素的定义，从SCDL和其他格式的文件中读取装配的信息。 一、装配过程 主要分成三个步骤： 1、载入(load)阶段从SCDL读取配置信息处理后，生成内存中的模型。 2、创建(build)阶段评估模型并将模型组成单独的组件元素,如Service,Reference,Component。 3、连接(connec
SCA V1.0 装配规范体系结构的组成
SCA规范从v0.9,v0.95,0.96最终发展到了v1.0 ,完成了第一个里程碑。从SCA规范v0.9到v1.0，从概念到装配规则都发生了一些变化。 这里就v1.0规范中的装配结构作一些简单的说明。 1、原子组件(Atomic Component) 所谓原子有不可以再分割的含义。原子组件被称为Component。对应原子组件的是合成组件(Composite)。合成组件Composite包
SCA规范1.0 最终稿发布
2007年3月21日,osoa官方发布了SCA 规范V1.0的最终版 ( Service Component Architecture Specifications Final Version 1.0 Specifications),标志着SOA技术一个新阶段的开始。 这些规范包括 Specification
使用Eclipse3.2.1+STP.0.4.0+Apache Tuscany开发SCA的Java组件(3)运行篇
六、运行服务端程序1、修改运行参数第一步、从eclipse菜单选择 run-->run...弹出运行配置参数窗口，如下图： 第二步、增加 -Doffline=true 参数，然后 Apply。如下图： 第三步、点击Run按纽，运行结果如下图： 七、运行客户端程序第一步、从eclipse菜单选择 run-->run...弹出运行配置参数窗口，如下图： 第二步、运行Run,输出结果。如下
使用Eclipse3.2.1+STP.0.4.0+Apache Tuscany开发SCA的Java组件(2)代码篇
四、编辑服务端代码 1、项目建成后，包含一些文件。在src目录下相应包内有：HelloWorld.java、HelloWorldImpl.java和HelloWorldServer.java三个文件；在META-INF/sca目录下有default.scdl文件；在bin目录下有HelloWorld_sca.jar文件。如图所示： 2、修改HelloWorld.java文件原文件为：
SCA/SDO双截棍 启动软件编程新纪元
多少年来，Three Tier的架构似乎已经成为了教科书式的软件体系范本。它不断地提高软件灵活性和高聚合性的，时至今日，当软件复杂度更上一个数量级的时候，这种体系也开始孕育又一次重生。这就是最近的Buzz Words: SOA，也即SCA + SDO 受CHRIS在BLOG上所托，稍微关注了一下这方面的。 其实SDO已经有比较长的历史了，IBM去年就在从事该规范相关的开发。 而S
Tuscany SCA案例分析（转）
Tuscany SCA案例分析（一）（连载中...） 给了好久的承诺 , 前些日子一直在学习一些 SOA 方面相关的资料 , 包括 Web Service 基础 --WSDL SOAP UDDI 等 , 这些是经典的 Web service 规范 , 同时学习了些相关的 XML-RPC 以及 WS-BPEL 等相关的内容，其中发现要看明白这些东西必须要先学好 XML 以及 XML
小议SCA漏洞可达性分析
开源治理中普遍采用SCA工具即软件成分分析工具进行开源组件及其漏洞分析，而随着SCA工具在供应链安全中的运用，越来越多的企业发现一个问题，就是SCA检测报告中大量的漏洞是否可以被验证、可以被利用。于是漏洞可达性便被提到了日程上，从衡量一款漏洞检测工具普遍采用假阳性（误报）率和假阴性率（漏报）来度量的话，不能简单的认为就是误报，更不是漏报，因为从包含关系上来讲，不管是直接依赖还是间接
库博SCA的同源分析
库博SCA工具是不依赖于开发语言的混源检测技术，是基于代码指纹采用同源分析技术开发的工具，当然也会分析构建配置文件。代码指纹是需要在知识库中存储大量的开源组件源代码文件，根据是项目级、包级、文件级、函数级、代码行级的粒度不同，存放海量的指纹信息。通过同源分析，确认是全部匹配还是部分匹配，同时在项目级、包级采用相似hash技术，提升检测效率。只有采用同源分析技术，才能支持混源检测和相似匹配，而采用构
SCA软件成分同源分析-代码匹配技术
被检项目源代码的识别在多个语言解析器的支持下工作，根据不同匹配算法，可以计算与特征值索引数据库的匹配情况。针对强匹配算法，源代码的特征值必须与索引数据库的特征值一致，才可认为是该开源组件；针对非强匹配算法，比如混淆后的代码，则需要计算特征值之间的相似度，根据相似度的阈值确定是否是该开源组件。输入是项目，输出的检测结果中给出具有与该项目相同或相似的项目、包、文件、类及函数。下面对分析流程进行简要说明
概念篇－SOA,ESB, JBI, SCA区别
SOA – ESB ESB是一种支持SOA实施的技术选择。 SOA – JBI JBI是Java领域一种支持SOA实施的技术选择。 SOA – SCA SCA是一种支持SOA实施的技术选择。 SOA – OSGI 没有直接关系,目的不一致。 ESB—JBI JBI和ESB是互补的。JBI提供一个模型和将集成组件作为服务的标准接口。JBI可以宿主在一个应用程序服务器环境或者在一个E
SCA标准会议实录(2006-06-30)
时间：美国2006年6月30日上午7点30分（北京时间6月30日晚10点30分），总共1小时10分钟。 地点：电话会议（我还是在正点通过Skype播到了英国的Toll Free电话可是没想到话路已满，试了几次都是如此。没法只能边看世界杯的1/8淘汰赛（德国vs阿根廷），边不断试着拨号，希望有人下了线空出个话路来。不过还好，10分钟后主持人发了新的美国Toll Free电话，供等待着的人们参
SCA标准会议实录(2006-06-26)
前言：我觉得普元作为唯一的中国代表性软件企业有责任和义务把这些历史性的镜头记录下来，因为SCA代表了未来十年的软件工程和软件开发与集成技术。 SCA标准会议实录(2006-06-26) 时间：美国2006年6月26日上午9点（北京时间6月27日零点），总共1小时5分钟。 地点：电话会议（我通过Skype播到了英国的Toll Free电话上，居然一分钱都没花，如果中国电信要封杀Skype的话我一
NAND SCA接口对性能影响有多大？
在多LUN场景下，SCA接口尤其有助于提高随机读取性能。通过合理安排读取命令和等待时间（如tR），SCA接口可以在一个LUN完成读取后立即开始另一个LUN的读取操作，而无需等待整个DQ总线空闲，从而减少了延迟和提高了IOPS。并且在实际测试案例中，与传统接口相比，SCA接口在不同速率下的4KB和16KB随机读取性能都有显著提升，表现为更高的最大IOPS和数据输出比率（dout ratio）
SCA面面观 | SCA在软件开发全生命周期的应用
随着软件开发的复杂性和规模不断增加，确保软件的安全性已成为一项至关重要的任务。近年来，企业在软件系统开发中开源组件的使用占比越来越高，对开源组件的安全风险也成为了企业所关注的焦点，SCA工具的应用从软件成分分析，到开源组件治理，再到软件供应链安全管理，其功能被一步步增强放大，逐渐成为企业软件开发过程中必不可少的工具之一。 SCA的核心原理是在软件生命周期内对软件进行逆向分解，准确识别出软
SCA面面观 | SCA关键技术深度解析
数字时代的软件开发普遍遵循敏捷实践，发布和部署周期都很短，开发团队非常依赖开源来加速创新迭代速度。因此，对团队项目中包含的每个开源组件进行跟踪非常重要，可以避免法律风险，保持强大的安全态势。 在DevSecOps环境中，SCA可以明确开源组件的可见性，帮助企业精准把控开源组件风险，避免软件带病上线。近年来，SCA逐渐成为企业软件治理的“必备神器”，强大能力的背后离不开关键技术的支撑，开源网
SCA面面观 | 五大维度提升，让SCA产品走向成熟
随着开源软件的迅速崛起，特别是在2021年SolarWinds和Log4j漏洞事件引发全球关注后，软件成分分析（Software Composition Analysis，简称SCA）越来越受到业界的重视。SCA产品已经逐渐成为企业软件供应链资产管理、漏洞管理以及开源合规治理工作不可缺少的重要部分。 值得一提的是，“SCA”的概念以及相关工具早在2002年就有厂商提出，但彼时的SCA产品主