Nell'ambito di una strategia di convalida della sicurezza in Azure DevOps, è necessario identificare le dipendenze dei pacchetti che presentano problemi di sicurezza noti e che possono essere risolti aggiornando i pacchetti. Quale strumento si dovrebbe usare?

SonarQube è lo strumento corretto perché è una piattaforma di qualità del codice open source che esegue analisi statiche per rilevare bug, vulnerabilità e code smell. È particolarmente efficace nell'identificare dipendenze con problemi di sicurezza noti (vulnerabilità CVE) e suggerire aggiornamenti. Octopus Deploy è uno strumento di distribuzione continua. Jenkins è un server di automazione per l'integrazione continua e la consegna continua. Gradle è un sistema di automazione della compilazione. Nessuno di questi tre strumenti è progettato per l'analisi statica del codice e la rilevazione di vulnerabilità nelle dipendenze come SonarQube.