DepVis v2: A Graph-Based Visualization Tool for Software Dependencies

Bc. Jozef Gajdoš

Diplomová práce

Anotace:

Moderné softvérové projekty sú čoraz viac závislé od veľkého množstva balíkov tretích strán, čo robí správu závislostí a sledovanie zraniteľností kritickým aspektom bezpečnosti softvéru. Hoci existujúce nástroje na Software Composition Analysis (SCA) poskytujú širokú podporu pre detekciu zraniteľných komponentov, zvyčajne sa spoliehajú na reportovanie založené na zoznamoch a ponúkajú obmedzené možnosti pre interaktívne skúmanie grafov, porovnávanie rôznych verzií alebo retrospektívnu analýzu vývoja závislostí. Táto práca predstavuje návrh a implementáciu systému DepVis v2, grafovo orientovaného systému na analýzu závislostí a zraniteľností, ktorý tieto nedostatky rieši. DepVis v2 podporuje celý proces analýzy závislostí – od vytvorenia projektu na základe repozitára a automatizovaného generovania Software Bill of Materials (SBOM) pomocou nástroja Trivy, cez spracovanie závislostí, interaktívnu vizualizáciu grafov, porovnávanie branchov až po historickú analýzu trendov. Systém je postavený na modulárnej architektúre orientovanej na služby využívajúcej .NET, relačnú databázu, objektové úložisko MinIO a frontend v Reacte, pričom asynchrónne spracovanie je koordinované prostredníctvom message busu MassTransit. Vyhodnotenie ukazuje, že DepVis v2 úspešne analyzuje projekty naprieč viacerými ekosystémami, vrátane npm, NuGet, Maven a Go Modules, a produkuje výsledky všeobecne porovnateľné so zavedenými nástrojmi, ako sú FOSSA a Snyk. Okrem toho exploratívna analytická štúdia vykonaná na šiestich open-source projektoch naznačuje, že vystavenie zraniteľnostiam sa v čase vyvíja dynamicky, nie monotónne, že samotná veľkosť grafu závislostí sa nejaví ako spoľahlivý prediktor počtu zraniteľností a že tranzitívne závislosti majú tendenciu tvoriť väčšinu vystavenia zraniteľnostiam v analyzovaných projektoch.

Abstract:

Modern software projects increasingly depend on large numbers of third-party packages, making dependency management and vulnerability tracking a critical aspect of software security. While existing Software Composition Analysis (SCA) tools provide broad support for detecting vulnerable components, they commonly rely on list-based reporting and offer limited capabilities for interactive graph exploration, cross-version comparison, or retrospective analysis of dependency evolution. This thesis presents the design and implementation of DepVis v2, a graph-based system for dependency and vulnerability analysis that addresses these limitations. DepVis v2 supports the full dependency analysis process, from repository-based project creation and automated Software Bill of Materials (SBOM) generation using Trivy, through dependency processing, interactive graph visualization, branch comparison, and historical trend analysis. The system is built on a modular, service-oriented architecture using .NET, a relational database, MinIO object storage, and a React frontend, with asynchronous processing coordinated through a MassTransit message bus. The evaluation demonstrates that DepVis v2 successfully analyzes projects across multiple ecosystems, including npm, NuGet, Maven, and Go Modules, and produces results broadly comparable to established tools such as FOSSA and Snyk. In addition, an exploratory analytical study conducted on six open-source projects suggests that vulnerability exposure evolves dynamically over time rather than monotonically, that dependency graph size alone does not appear to be a reliable predictor of vulnerability count, and that transitive dependencies tend to account for the majority of vulnerability exposure in the analyzed projects.

Keywords

software dependencies, vulnerability analysis, Software Composition Analysis, SBOM, graph visualization

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 19. 5. 2026

Obhajoba závěrečné práce

• Obhajoba proběhla 19. 6. 2026
• Vedoucí: doc. Bruno Rossi, PhD
• Oponent: RNDr. Karolina Dočkalová Burská, Ph.D.

Masarykova univerzita

Fakulta informatiky

Magisterský studijní program / obor:
Softwarové inženýrství / Návrh a vývoj softwarových systémů