WhiteSource

引自 Forrester’s ‘Software Composition Analysis’ Report

Capabilities

Vulnerability Detection

Vulnerability Remediation

Inventory Management

Open Source License Compliance

Products

WhiteSource Core

• Policy Management
• Smart Prioritization
• Real-Time Alerts
• Swift Reporting

Provide:

• Full Visibility，统一监管组件、依赖、漏洞及协议
• Effective Decision-making，了解漏洞的影响
• Intuitive Interface，UI 简洁明了

WhiteSource for Developers

• IDE Integration
  • Early Visibility While Coding，添加新组件时即做检查
  • Effortless & Seamless Security
  • Simplified & Quick Remediation，提供修复建议
• Browser Integration，在 nuget、stackoverflow 等网站看到页面上开源包引用的安全信息
  • Version，提示是否有新版本
  • License，开源协议
  • Policy Violations，是否符合公司的 policy
  • Projects，是否正在使用
  • Vulnerabilities，漏洞及重要性
  • Quality，基于 commits 和发布版本数评分
• Repos Integration （* 不支持 Azure Repos）
  • Continuous Repo Security，在 repo 界面看到实时警报和见解
  • Simplified & Quick Remediation，快速自动生成修复的 Pull Requests
  • Native Workflow Integration，依据安全策略，由漏洞检测、漏洞严重性和新版本发布等触发自动修复工作流

WhiteSource Prioritize

• Reduce Security Alerts，聚焦于最重要的一部分，优先级取决于代码是否调用了有风险的方法（调用了则成为警报有效）
• Speed Up Remediation Processes，指出漏洞的具体路径
• Improve Collaboration Between Teams，用有效性作为漏洞影响指标，减少开发与安全团队的摩擦

WhiteSource for Containers

• 支持各个环节，开发，编译，容器注册，部署
• 支持各个容器注册表（Azure Container Registry）
• 可部署在 Kubernetes 集群中自动扫描其他 Pods 的漏洞和合规性，自动实施策略；支持 AKS 等托管的 Kubernetes

WhiteSource Bolt 免费扩展

可与 Azure DevOps 集成，在 YAML 中添加任务并指定扫描目录即可

Pricing

单位是美元/年

WhiteSource Prioritize 是 WhiteSource Core 的可选项，需要单独联系报价？
WhiteSource for Containers 是 WhiteSource Core 的一部分，不需要单独付费