Հասանելիության վերլուծություն. Խելացի խոցելիության առաջնահերթություն

Հասանելիության վերլուծությունը անվտանգության տեխնիկա է, որը որոշում է, թե արդյոք խոցելի ֆունկցիան, կախվածությունը կամ կոդի ուղին իրականում կարող է կատարվել ծրագրի կողմից աշխատանքի ժամանակ: Ի տարբերություն ավանդական խոցելիությունների սկանավորման, որը նշում է յուրաքանչյուր հայտնի CVE՝ անկախ նրանից, թե արդյոք այն կարող է շահագործվել, հասանելիության վերլուծությունը զտում է արդյունքները՝ ներառելով դրանք ակտիվ կատարման ուղում առկաները, զգալիորեն նվազեցնելով կեղծ դրականները և օգնելով անվտանգության թիմերին կենտրոնանալ իրական, շահագործելի ռիսկեր ներկայացնող խոցելիությունների վրա:

Ժամանակակից ծրագրերում խոցելիությունների կառավարումը դժվար է։ Անթիվ բաց կոդով կախվածությունների և կոդի տեսքով ենթակառուցվածքների պատճառով (IaC), անվտանգության թիմերը ծանրաբեռնված են ահազանգերով։ Խնդիրը՞։ Գործիքների մեծ մասը չի ասում ձեզ, թե արդյոք խոցելիությունը իրականում շահագործելի է, ինչը հանգեցնում է ահազանգերի հոգնածության, ժամանակի վատնման և անվերջ վերականգնման աշխատանքների կուտակումների։ Ահա թե որտեղ է հասանելիության վերլուծությունը փոխում խաղը. այն օգնում է։ DevOps թիմեր Կենտրոնացեք իսկապես կարևոր բաների վրա: Երբ դուք դա համատեղում եք խոցելիությունների առաջնահերթության հետ, դուք ստանում եք ավելի արագ և ճշգրիտ շտկում, քանի որ կեղծ դրականները զտվում են: Եվ դա դեռ ամենը չէ, լավ հասանելիության վերլուծիչը ցույց է տալիս, թե որ խոցելիություններն են իրականում հասանելի, որպեսզի ձեր թիմը կարողանա առաջնահերթություն տալ իրական ռիսկերին և համահունչ մնալ բիզնես նպատակներին:

Այս ուղեցույցում մենք կբացատրենք, թե ինչպես է գործում հասանելիության վերլուծությունը, ինչու է խոցելիության առաջնահերթությունը պարտադիր, և ինչպես կարող է Xygeni-ի հասանելիության վերլուծիչը օգնել նվազեցնել աղմուկը և կենտրոնանալ իրականում կարևոր ռիսկերի վրա։

2026 թվականին հասանելիության վերլուծությունը կդառնա ավելի կարևոր, քանի որ արհեստական բանականության կողմից ստեղծված կոդը կմտնի արտադրության մեջ մեծ մասշտաբով: Արհեստական բանականության կոդավորման օգնականները կոդ են ստեղծում ավելի արագ, քան մարդկային վերանայման գործընթացները կարող են այն վավերացնել, և երբ այդ կոդը ներմուծում է խոցելի կախվածություններ կամ կանչում է անապահով ֆունկցիաներ, ավանդական... SCA Գործիքները նշում են ամեն ինչ՝ առանց տարբերակելու, թե ինչն է իրականում հասանելի։ Հասանելիության վերլուծությունը այն շերտն է, որը արհեստական բանականության օգնությամբ մշակումը դարձնում է անվտանգ և արագ։

Ինչպես են հասանելիության վերլուծիչները օգնում նվազեցնել կեղծ դրական արդյունքները

Ավանդական Ծրագրային ապահովման կազմի վերլուծություն (SCA) գործիքներ հայտնաբերեք խոցելիություններ՝ սկանավորելով ձեր նախագծի կախվածության ծառը և համեմատելով այն տվյալների բազաների հետ, ինչպիսիք են՝ Ազգային խոցելիության տվյալների բազա (NVD)Դա հիանալի է հնչում, մինչև որ դուք չեք հասկանում, որ ինչ-որ մեծ բան է բաց թողնված։ Այս գործիքները չեն ստուգում, թե արդյոք նշված խոցելիությունները հասանելի են ձեր հավելվածում։ Առանց այդ համատեքստի, դուք կստանաք բազմաթիվ ահազանգեր, բայց պատկերացում չունեք, թե որոնք են իրական ռիսկերը։

Ահա հասանելիության վերլուծության հիմնական հարցերի պատասխանները.
Ձեր ծրագրի գործարկման ժամանակ հասանելի՞ է խոցելի կոդը։

Եթե պատասխանը «ոչ» է, կարող եք հանգստանալ. սա անմիջական խնդիր չէ։ Բայց եթե պատասխանը «այո» է, ապա դա հասանելի խոցելիություն է, որը պահանջում է արագ ուշադրություն։ Ահա թե ինչն է հասանելիության վերլուծությունը դարձնում այդքան հզոր. այն հաղթահարում է աղմուկը՝ օգնելով ձեր թիմին կենտրոնանալ կարևորի վրա։

Հասանելիության վերլուծության տեսակների բացատրությունը

Հասանելիության բոլոր վերլուծությունները հավասար չեն։ Կախված նրանից, թե որքան խորն է վերլուծությունը, այն կարող է ձեզ տալ ճշգրտության և պատկերացման տարբեր մակարդակներ։ Իմանալը, թե որ տեսակի հետ գործ ունեք, խելացի լուծումներ գտնելու բանալին է։cisիոններ և իրական ռիսկերի վերահսկողությունը պահպանելը։

1. Հասանելիություն կոդի մակարդակում. խոցելիությունների հայտնաբերում կոդի մակարդակում

Կոդի մակարդակի հասանելիությունը վերլուծության ամենամանրամասն և ճշգրիտ տեսակն է։ Այն ստուգում է ձեր ծրագրի կանչի գրաֆիկը՝ որոշելու համար, թե արդյոք որոշակի խոցելի ֆունկցիա ուղղակիորեն կամ անուղղակիորեն կանչվում է։ Այս մեթոդը չափազանց նախնական է։cisե. օգնելով ձեր թիմին խուսափել ավելորդ աղմուկից՝ կենտրոնանալով իրական կատարման ուղիների վրա։

Ինչպես է այն աշխատում:

գործիքային սկանավորումներ ձեր ամբողջ կոդային բազան և որոշում է, թե արդյոք ձեր ծրագիրը կանչում է կախվածության ներսում գտնվող խոցելի մեթոդ։
Եթե մեթոդը հայտնվում է որևէ զանգի շղթայում, այն նշվում է որպես հասանելի և պահանջում է անհապաղ ուշադրություն։

Example:

Խոցելիություն: CVE-2014-6071- ը jQuery-ում ազդում է տեքստ() մեթոդը, երբ այն օգտագործվում է հետո().
Հասանելիության վերլուծություն կոդի մակարդակում. Եթե ձեր հավելվածը չի օգտագործում հետո() հետ տեքստ(), խոցելիությունը հասանելի չէ, և դուք կարող եք անվտանգ կերպով այն դարձնել ավելի աննշան։ Սակայն, եթե տեքստ() գոյություն ունի ձեր կանչերի գրաֆիկում, այն դառնում է կրիտիկական ռիսկ, որը պահանջում է արագ լուծում։

2. Կախվածության մակարդակի հասանելիություն

Կախվածության մակարդակի հասանելիություն ավելի լայն մոտեցում է ցուցաբերումԱնհատական ֆունկցիաները վերլուծելու փոխարեն, այն ստուգում է, թե արդյոք ձեր ծրագիրը օգտագործում է կախվածությունը։ Չնայած այս մեթոդը պակաս նախնական էcisկոդի մակարդակի վերլուծությունից ավելի օգտակար է խոցելի բաղադրիչներից առաջացող հնարավոր ռիսկերը հասկանալու համար։

Ինչպես է այն աշխատում:

Գործիքը նշում է կախվածություն որպես պոտենցիալ հասանելի, եթե այն ներմուծվի ձեր կոդի մեջ, նույնիսկ եթե խոցելի ֆունկցիան չի կանչվում։

Example:

գրադարանՁեր նախագիծն օգտագործում է հայտնի խոցելիությամբ գրանցամատյանների գրադարան։
վերլուծությունԵթե դուք օգտագործում եք միայն հիմնական գրանցումը և ոչ թե առաջադեմ գործառույթը, որտեղ խոցելիությունը գոյություն ունի, ռիսկը շատ ավելի ցածր է: Այնուամենայնիվ, լավ գաղափար է վերահսկել այս կախվածությունը:

3. Միշտ հասանելի ընդդեմ անհասանելիի

Միշտ հասանելի

A խոցելիությունը նշված է որպես միշտ հասանելի եթե այն գտնվում է կախվածության կրիտիկական մասում, որը գործարկվում է ձեր ծրագրի ամեն մեկնարկի ժամանակ: Սրանք բարձր առաջնահերթության խնդիրներ են, որոնք պետք է անմիջապես լուծվեն:

Example:
Ծրագրի յուրաքանչյուր մեկնարկի ժամանակ կատարվող նախնականացման մեթոդի խոցելիությունը միշտ հասանելի է և ներկայացնում է ներքին ռիսկ։

Անհասանելի

Մյուս կողմից, խոցելիությունը հասանելի չէ, եթե խոցելի ֆունկցիային ուղղակի կամ անուղղակի կանչ չկա։ Չնայած դա անմիջական խնդիր չէ, դուք պետք է հետևեք դրան։ Ապագա կոդի փոփոխությունները կարող են խոցելի կոդին տանող ուղի ստեղծել։

Example:
Հազվադեպ օգտագործվող API վերջնակետի խոցելիությունը կարող է անտեղի թվալ, եթե ձեր հավելվածը այն չի կանչում: Այնուամենայնիվ, նոր գործառույթի ավելացումը կարող է ոչ միտումնավոր ճանապարհ ստեղծել դեպի այդ խոցելի գործառույթը:

Ինչու են այս տեսակի հասանելիությունը կարևոր

Հասանելիություն կոդի մակարդակում ապահովում է ճշգրտություն՝ հայտնաբերելով ձեր հավելվածի կողմից անմիջապես առաջացած խոցելիությունները։
Կախվածության մակարդակի հասանելիություն ապահովում է պաշտպանության ավելի լայն շերտ՝ վերահսկելով ներմուծված գրադարանները։
Միշտ հասանելի Խոցելիությունները պետք է անհապաղ շտկվեն, մինչդեռ «Չհասանելի» խոցելիությունները կարող են նվազեցնել ավելորդ ահազանգերը և օգնել կենտրոնացնել ձեր շտկման ջանքերը։

Այս մոտեցումները համատեղելով՝ դուք կարող եք նվազեցնել զգոնության հոգնածությունը, կենտրոնանալ իրական ռիսկերի վրա և պահպանել նախաձեռնողական անվտանգության դիրքորոշում։

Ինչու է հասանելիության վերլուծությունը փոխակերպում խոցելիության առաջնահերթությունը

1. Բարելավված առաջնահերթություն

Հասանելիության հիման վրա խոցելիությունների առաջնահերթությունը որոշելն ավելի ճշգրիտ է, քան միայն ծանրության աստիճանի հիման վրա։ Ցածր ծանրության հասանելի խոցելիությունը կարող է շատ ավելի ռիսկային լինել, քան անհասանելի կրիտիկական խոցելիությունը։

Example:

Հազվադեպ օգտագործվող գործառույթի կրիտիկական խոցելիությունը կարող է անհապաղ շտկման կարիք չունենալ։
Միևնույն ժամանակ, հաճախ օգտագործվող ֆունկցիայի ցածր ծանրության խոցելիությունը կարող է շատ ավելի մեծ ռիսկ ներկայացնել։

2. Նվազեցնում է կեղծ դրականները

Հայտնաբերելով, թե որ խոցելիություններին կարելի է հասնել, և որոնք՝ ոչ, հասանելիության վերլուծությունը վերացնում է ավելորդ ահազանգերը և օգնում է ձեր թիմին կենտրոնանալ իրական ռիսկերի վրա։

3. Օպտիմալացնում է մշակողի ժամանակը

Ֆանտոմային խոցելիությունները հետապնդելու ավելի քիչ ժամանակ նշանակում է իրական խնդիրները լուծելու վրա ծախսվող ավելի շատ ժամանակ։ Սա մշակողներին արդյունավետ է պահում և նվազեցնում է անվտանգության հետ կապված հիասթափությունները։

4. Համապատասխանում է բիզնեսի նպատակներին

Ոչ բոլոր խոցելիություններն են հավասարապես կարևոր։ Հասանելիության վերլուծությունը թույլ է տալիս կազմակերպություններին կենտրոնանալ բիզնեսի համար ամենակարևոր ռիսկերի վրա՝ համոզվելով, որ դրանք պաշտպանում են հիմնական ծառայությունները և զգայուն տվյալները։

5. Հարմարվում է կոդի փոփոխություններին

Այսօր անհասանելի խոցելիությունները կարող են հասանելի դառնալ ձեր կոդի զարգացմանը զուգընթաց։ Հասանելիության անընդհատ վերլուծությունը իրական ժամանակում պատկերացում է տալիս փոփոխվող ռիսկերի մասին՝ թույլ տալով ձեզ գործել նախքան սպառնալիքը կդառնա շահագործելի։

Իրական ժամանակում հասանելիություն՝ ավելի խելացի խոցելիությունների առաջնահերթության համար

Ավանդական առաջնահերթության որոշման մեթոդները հիմնականում հիմնված են խստության վրա, ինչը միշտ չէ, որ լավագույն մոտեցումն է: Հասանելիության վրա հիմնված առաջնահերթությունը ձեր անվտանգության ռազմավարությանը ավելացնում է իրական աշխարհի համատեքստ.

Երբ խոսքը վերաբերում է խոցելիությանը կառավարում, հասանելիության վրա հիմնված առաջնահերթություն առաջարկում է հեռու ավելի իրատեսական և ճշգրիտ ռիսկի գնահատումը համեմատած ավանդական մեթոդների հետ։ Ի տարբերություն լրջության վրա հիմնված մոդելների, որոնք յուրաքանչյուր կարևորագույն խոցելիություն դիտարկում են որպես անհետաձգելի, հասանելիության վրա հիմնված առաջնահերթությունը կենտրոնանում է իրականի վրա։ շահագործելիությունԱյս մոտեցումը ապահովում է, որ անվտանգության թիմերը նախևառաջ լուծեն իրական ռիսկերը՝ առանց ժամանակ վատնելու այն խոցելիությունների վրա, որոնք կարող են երբեք չազդել հավելվածի վրա։

Արդյունքում, կենտրոնանալով հասանելի խոցելիությունների վրա, ձեր թիմը կարող է ավելի արագ դեcisիոնները և բաց թողնել անհրաժեշտ ուղղումներ չկանՀիմնական տարբերությունը խոցելիությունների դասակարգումն է՝ հիմնվելով դրանց իրական օգտագործման ձևի, այլ ոչ թե միայն դրանց լուրջ թվալու վրա։

Հասանելիության վերլուծության իրական ազդեցությունը

Հասանելիության վերլուծություն կիրառող կազմակերպությունները հաճախ զգալի բարելավումներ են գրանցում ինչպես արդյունավետության, այնպես էլ անվտանգության վրա կենտրոնանալու առումով: Ահա, թե ինչի են հասնում շատ թիմեր.

Կեղծ պոզիտիվների 70% նվազում, որը զգալիորեն կրճատում է անկարևոր ահազանգերը և թույլ է տալիս անվտանգության թիմերին կենտրոնանալ իրական ռիսկերի վրա։
30%-ով ավելի արագ վերականգնման ժամանակներ, ինչը թույլ է տալիս մշակողներին կենտրոնանալ կիրառելի խոցելիությունների վրա՝ աղմուկի մեջ խորանալու փոխարեն։
Ավելի բարձր մշակողների ներգրավվածություն, ստեղծելով ավելի ամուր անվտանգության մշակույթ և կառուցելով ավելի լավ համագործակցություն անվտանգության և մշակման թիմերի միջև։

Վերջիվերջո, հասանելիության վերլուծությունը բարելավում է ճշգրտությունը և կառուցում է մշակողների վստահությունը անվտանգության գործիքների նկատմամբ՝ ապահովելով, որ թիմերը մնան ներգրավված և համապատասխանեն երկարաժամկետ անվտանգության ռազմավարություններին։

Եզրակացություն. Հասանելիության վերլուծության փոխակերպումներ SCA

Հասանելիության վերլուծությունը վերափոխում է ծրագրային ապահովման կազմի վերլուծությունը (SCA) ռեակտիվ գործիքից, որը պարզապես թվարկում է խոցելիությունները նախաձեռնողական անվտանգության կառավարման ռազմավարությունԿենտրոնանալով շահագործելի խոցելիությունների վրա՝ կազմակերպությունները կարող են նվազեցնել աղմուկը, խնայել ժամանակ և զգալիորեն բարելավել իրենց անվտանգության վիճակը։

Xygeni-ի հասանելիության վերլուծիչ. իրական ժամանակում, ճշգրիտ առաջնահերթությունների սահմանում

Xygeni-ի մոտեցման հիմքում ընկած է հասանելիության վերլուծիչը, որն օգտագործում է կոդի մակարդակի մանրամասն ստուգումներ և իրական ժամանակի վերլուծություններ: Ի տարբերություն ավանդականի՝ SCA Գործիքներ, որոնք նշում են բոլոր հնարավոր խոցելիությունները, Xygeni-ն կենտրոնանում է միայն իսկապես կարևորների վրա: Այն դա անում է՝ ստուգելով հասանելիությունը, շահագործելիությունը և բիզնես համատեքստը՝ օգնելով անվտանգության թիմերին կենտրոնանալ ամենակարևորի վրա:

Արդյունքում, իրական ժամանակում հասանելիության վերլուծությունը խելացի ուշադրության կենտրոնացման հետ համատեղելով, Xygeni-ն կեղծ դրականները կրճատում է մինչև 70%-ով։ Սա օգնում է թիմերին կենտրոնանալ իրական ռիսկերի վրա և ավելի արագ լուծել խնդիրները։

Ինչպես է աշխատում Xygeni-ի հասանելիության վերլուծությունը

Xygeni-ն ոչ միայն բացահայտում է երրորդ կողմի բաղադրիչների խոցելիությունները, այլև ավելի խորն է ուսումնասիրում՝ վերլուծելով, թե ինչպես են այդ բաղադրիչները օգտագործվում ձեր ծրագրում: Սա թույլ է տալիս տարբերակել պարզապես առկա խոցելիությունները և ակտիվորեն շահագործվող խոցելիությունները:

Xygeni-ի հասանելիության վերլուծիչի հիմնական առանձնահատկությունները.

Զանգերի գրաֆիկի հետևում. Սկանավորում է ուղղակի և անուղղակի կանչերի գրաֆիկները՝ թե՛ ուղղակի, թե՛ անուղղակի կախվածությունների միջև, ապահովելով, որ խոցելիությունները ճշգրիտ կերպով հետևվեն ամբողջ կախվածության ծառի ընթացքում։
Շարունակական մոնիտորինգԹարմացումներ իրական ժամանակում՝ ձեր կոդի զարգացմանը զուգընթաց, անմիջապես նշելով նոր հասանելի խոցելիությունները։
CI/CD Ինտեգրում: Հայտնաբերում և առաջնահերթություն է տալիս խոցելիություններին կառուցման պահին՝ ապահովելով, որ դրանք վաղ փուլում լուծվեն և երբեք չհասնեն արտադրության։

Համատեքստային և առաջնահերթ խոցելիությունների կառավարում

Ոչ բոլոր խոցելիություններ նույն ռիսկն են կրում։ Xygeni-ն Application Security Posture Management (ASPM) ապահովում է, որ խոցելիությունները դասակարգվեն՝ հիմնվելով ոչ միայն բիզնեսի համատեքստի և շահագործման հնարավորության վրա, այլև դրանց ծանրության վրա։ Սա օգնում է թիմերին կենտրոնանալ այն ռիսկերի վրա, որոնք անմիջականորեն ազդում են կարևոր ծառայությունների կամ զգայուն տվյալների վրա։

Xygeni-ի համատեքստից կախված առաջնահերթության գործոնները.

ՇահագործելիությունԱռաջնահերթություն տվեք հայտնի շահագործումներով կամ ակտիվ թիրախավորմամբ խոցելիություններին։
Բիզնեսի ազդեցությունըԿենտրոնացեք այն խոցելիությունների վրա, որոնք կարող են խաթարել կարևոր գործողությունները կամ բացահայտել զգայուն տվյալներ։
ՀասանելիությունԱնդրադարձ է կատարում խոցելիություններին միայն այն դեպքում, եթե դրանք կանչվում են ծրագրի ներսում կոդի կատարման ընթացքում։ Եթե խոցելիությունը գոյություն ունի, բայց երբեք չի օգտագործվում ծրագրի կողմից, ապա այն անմիջական ռիսկ չի ներկայացնում։ Սա ապահովում է, որ վերականգնման ջանքերը կենտրոնանան միայն արտադրությանը ազդող իրական սպառնալիքների վրա։

Անընդհատ մոնիթորինգ և CI/CD Ինտեգրում

Xygeni-ի հասանելիության վերլուծիչ անում է ավելին, քան standard SCA գործիքներ՝ անընդհատ ստուգելով հանրային գրանցամատյանները վնասակար ծրագրերի և խոցելիությունների առկայության համար: Դրա վաղ նախազգուշացման համակարգը հայտնաբերում է վնասակար կոդը բաց կոդով փաթեթներում, հենց որ դրանք հրապարակվում են: Հասանելի խոցելիությունները անմիջապես լուծվում են՝ կրճատելով ազդեցության ժամանակը և պահպանելով ձեր հավելվածի անվտանգությունը:

Կախվածության քարտեզագրում և տեսողական հասանելիություն

Քսիգենի գերազանցում է կախվածության հիմնական հայտնաբերումը, թիմերին տալով հստակ պատկերացում այն մասին, թե ինչպես են տարբեր բաղադրիչները փոխազդում և արդյոք դրանք անվտանգության ռիսկեր են ներկայացնում: Յուրաքանչյուր ներմուծված կախվածություն կուրորեն նշելու փոխարեն, Xygeni-ն ստուգում է, թե արդյոք ծրագիրը ակտիվորեն օգտագործում է այն՝ կամ ուղղակիորեն կանչելով այն սկզբնական կոդում, կամ մեկ այլ փաթեթի միջոցով:

Example:

Զարգացման թիմ ավելացնում է երրորդ կողմի գրադարան իրենց նախագծին։

Եթե ծրագրի ոչ մի մաս չի կանչում այդ գրադարանից որևէ ֆունկցիա՝ նույնիսկ մեկ այլ կախվածության միջոցով, ապա դա անվտանգության ռիսկ չի ներկայացնում։
Ավանդական անվտանգության գործիքները դեռևս կհայտնաբերեին այդ գրադարանի խոցելիությունները՝ ժամանակ վատնելով ոչ անհրաժեշտ շտկումների վրա: Սակայն Xygeni-ն գիտակցում է, որ չօգտագործված կախվածությունները իրական սպառնալիք չեն:

Ինչպես է Xygeni-ն գնահատում հասանելիությունը տարբեր մակարդակներում

1. Հասանելիություն կոդի մակարդակով. իրական ռիսկերի հայտնաբերում

Կոդի մակարդակում Xygeni-ն ստուգում է, թե արդյոք ձեր ծրագիրը իրականում կանչում է խոցելի ֆունկցիա՝ ուղղակիորեն կամ այլ գրադարանի միջոցով։ Եթե ձեր կոդի ոչ մի մաս այն չի կանչում, ապա խոցելիությունը հասանելի չէ և անհապաղ ուշադրության կարիք չունի։

Example:

Մշակողների թիմը օգտագործում է հայտնի գրադարան, որը պարունակում է խոցելի գործառույթ։

Եթե ծրագիրը երբեք չի կանչում այս ֆունկցիան, խոցելիությունը մնում է անգործուն, ուստի այն չի պահանջում շտկում։
Սակայն, եթե ֆունկցիան ակտիվորեն օգտագործվում է, ապա դա իրական ռիսկ է, որը պետք է արագ շտկվի։

Կենտրոնանալով իրական կատարման ուղիների վրա՝ Xygeni-ն զտում է կեղծ դրականները, որպեսզի անվտանգության թիմերը կենտրոնանան միայն կարևոր սպառնալիքների վրա։

2. Կախվածության մակարդակի հասանելիություն. Հայացք ներմուծումից այն կողմ

կամուրջ SCA Գործիքները ենթադրում են, որ եթե նախագծում գոյություն ունի կախվածություն, ապա դրա խոցելիությունները ռիսկ են ներկայացնում, բայց դա միշտ չէ, որ ճիշտ է: Xygeni-ն ավելի խորն է ուսումնասիրում՝ վերլուծելով, թե արդյոք ծրագիրը իրականում օգտագործում է կախվածությունը՝ իր սկզբնական կոդում, թե մեկ այլ փաթեթի միջոցով:

Example:

Մշակողների թիմը ավելացնում է երրորդ կողմի գրադարան, բայց ծրագրի ոչ մի մաս չի օգտագործում այն, և ոչ մի այլ կախվածություն նույնպես չի կանչում այն։

Չնայած գրադարանը պարունակում է խոցելիություններ, դրանք չեն կարող շահագործվել, քանի որ ծրագրում ոչինչ չի ակտիվացնում դրանք։
Ի տարբերություն ավանդականի SCA գործիքներ, որոնք նշում են յուրաքանչյուր ներմուծված փաթեթ, Xygeni-ն գիտի, որ չօգտագործված կախվածությունները իրական ռիսկեր չեն ներկայացնում։

Բացի այդ, որոշ կախվածություններ գոյություն ունեն միայն փորձարկման միջավայրերում և երբեք չեն հասնում արտադրության: Նույնիսկ եթե դրանք պարունակում են խոցելի ֆունկցիաներ, դրանք չեն կարող շահագործվել, քանի որ ծրագիրը երբեք չի կատարում դրանք ակտիվ միջավայրում:

Օգտագործված կախվածությունները չօգտագործվածից առանձնացնելով՝ Xygeni-ն հեռացնում է կեղծ դրականները՝ օգնելով անվտանգության թիմերին կենտրոնանալ իրական ռիսկերի վրա՝ անհրաժեշտ շտկումները չհետապնդելու փոխարեն։