开源软件管理工具Mend SCA
软件团队常专注于检测其自主代码的潜在问题，却忽视了对开源组件中已知漏洞的检查。而开源漏洞的风险往往更大，因为其漏洞信息以及如何利用漏洞是大家都知道的。幸而87%的开源漏洞都得到了修补，所以它们又是比较容易改正的。Mend SCA拥有最为广泛的安全漏洞数据库，从多个来源收集漏洞，提供详细的修复信息。在软件开发生命周期（SDLC）中，包括软件发布之后，Mend SCA对用户做出实时提醒以便积极主动地提前修复所有问题。
在使用开源组件时，企业需要确保遵循了所有组件包括传递性依赖库的许可。Mend SCA准确检测所有开源许可，包括库的许可，自动化强制实施在新加组件上的许可政策。用户因此可以阻挡不期望的组件进入自己的软件。Mend SCA也自动化新增开源组件的批准过程，因此提高了开发效率。
向左移（Shift Left）是在软件开发过程早期尽可能多地检测问题的核心理念，有研究表明，开展安全问题的早期检测可以减少修复成本的90%。Mend SCA在问题组件进入代码之初或在构建时就进行了检查，确保在发布之日没有意外发生。它的选择工具（Selection Tool）帮助开发人员在评估阶段选择最佳组件，从而提升产品的整体质量。
Mend SCA自动化了开源组件的选择、批准和管理过程，包括检测和解决安全和合规性问题。它允许集成用户的代码库、构建工具、CI服务器和应用安全工具，支持敏捷方法和持续部署。它也为用户的安全、工程、DevOps和法律团队提供透明度，管控开源应用。
Mend SCA拥有自主的算法保证准确检测无误报，作为市场上最准确的解决方案而深感自豪。而且，Mend SCA有着无比成熟的数据库，含有超过3M的开源组件和70M源文件，覆盖了200多种编程语言。
在使用上，Mend SCA计算每个库的数字签名，用它与其广泛的数据库做交叉对比。因此它不扫描或分析用户代码，完全保证了用户代码的保密性。简单一句话，它不看你的代码。
检测
●在你的构建和代码库中，自动检测所有开源组件，包括传递性依赖库。
●在软件开发周期中检测组件的已知漏洞，提供修复建议。
警告
●在软件开发生命周期中自动化强制实施政策，对政策的违反产生实时报警。用户因此可以取消构建，或者开启一个批准过程。
●报警的设置包括漏洞的严重性、许可类型、严重的软件缺陷、新版本、组件的年龄和其它方面。
●获得历史版本中最近发现的漏洞的警报，Mend SCA持续监控每个版本的最近一次构建。
报告
●依据上一次构建，一键点击生成详细的清单、风险、安全性、法律和尽职调查（Due Diligence）的报告。
●为所有许可的发布和著作权信息自动生成发布管理报告，节省发布之前的时间和劳动。
选择
●当开发人员在线搜索开源组件时，选择工具（作为浏览器插件）帮助提供安全、许可和政策信息。
●用户将获得每个组件的详细预览，包括其漏洞、许可以及该组件是否已经用在你的企业中了。
●选择工具支持所有的通用注册（MavenCentral、npm、Pypi等等）和带有包引用（StackOverFlow、Tutorials等）的网页。
优势
●覆盖广泛，支持200多种语言包括容器。
●定位准确，自主知识产权的算法保证没有误报。
●修复容易，提供经过验证的众包修复。
●使用方便，政策自动实施在SDLC的各阶段，自动化批准和追踪过程。
●漏洞库丰富，从NVD、安全专家和开源项目问题跟踪中持续收集信息。
