“A principal função de ferramentas do tipo SCA (Software Composition Analysis) é mapear as possíveis vulnerabilidades dos componentes open-source.” Essa afirmação é:

Alternativa Verdadeira

Análise do Conceito

A afirmação apresentada está correta ao descrever a finalidade das ferramentas SCA (Software Composition Analysis). Vamos entender o detalhe:

• O que é SCA?
  É um processo e conjunto de ferramentas focados em analisar o código de uma aplicação para identificar quais bibliotecas, frameworks e componentes de terceiros estão sendo utilizados.
• Qual o foco na segurança?
  Como grande parte do desenvolvimento moderno utiliza código open-source (código aberto), existe o risco de incluir componentes que já foram comprometidos ou possuem falhas conhecidas.
• Como funciona o mapeamento?
  As ferramentas SCA criam um inventário de todas as dependências e cruzam essas informações com bancos de dados de vulnerabilidades (como o NVD - National Vulnerability Database). Se uma biblioteca utilizada tem uma falha pública (CVE), a ferramenta sinaliza isso.

Por que a afirmação é Correta?

A essência do SCA na segurança de aplicações (DevSecOps) é garantir a integridade da cadeia de suprimentos de software (Software Supply Chain). Ao "mapear" (inventariar e verificar) os componentes open-source, a ferramenta permite que as equipes corrijam falhas antes que o software seja colocado em produção.

Portanto, dizer que a principal função é mapear vulnerabilidades nesses componentes é uma descrição precisa da realidade técnica.