静的アプリケーション・セキュリティ・テスト（SAST）は、アプリケーション・セキュリティ（AppSec）ツールとして頻繁に使用され、アプリケーションのソースコード、バイナリコード、またはバイトコードをスキャンします。ホワイトボックス・テスト・ツールで、脆弱性の根本原因を特定し、根本的なセキュリティ上の欠陥を修正するのに役立つ。SASTソリューションは、アプリケーションを "内部から "分析するため、スキャンを実行するために実行中のシステムを必要としない。

SASTは、開発中にコードに混入した問題を開発者に即座にフィードバックすることで、アプリケーションのセキュリティリスクを低減する。開発者が作業しながらセキュリティに関する教育を受けられるように支援し、推奨事項やコード行ナビゲーションにリアルタイムでアクセスできるようにすることで、脆弱性の発見や共同監査を迅速に行えるようにする。これにより、開発者は侵害されにくいコードをより多く作成できるようになり、より安全なアプリケーションを開発できるようになる。

しかし、SASTツールはコード外の脆弱性を特定することはできない。例えば、サードパーティのAPIで見つかった脆弱性は、SASTでは検出されず、動的アプリケーション・セキュリティ・テスト（DAST）が必要になる。DASTについては、こちらのページ「DASTとは？

SASTの長所

ソースコードをスキャンし、脆弱性につながる弱点を見つける
リアルタイムのレポートを提供
開発者が使用する言語をカバーする

SASTの短所

動的環境における脆弱性を特定する能力がない
偽陽性を報告するリスクが高い
報告書は静的なものなので、すぐに古くなってしまう。

ITセキュリティの専門家によると、アプリケーションの開発とテストは、組織にとって最も困難なセキュリティ・プロセスであり続けている。開発者は安全なコードを作成するためのソリューションを必要としており、AppSecツールが活躍する場はそこにある。

AppSec は、アプリケーションのライフサイクル全体を通じて、アプリケーションを脅威から保護することを目的としたプロセス、ツール、および実践の分野である。

アプリケーションのセキュリティをテストする方法はたくさんある：

静的アプリケーション・セキュリティ・テスト（SAST）
動的アプリケーション・セキュリティ・テスト（DAST）
モバイル・アプリケーション・セキュリティ・テスト（MAST）
インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）

SAST

なぜSASTが重要なのか？

SAST は、ソフトウェア開発ライフサイクル（SDLC）において不可欠なステップです。なぜなら、SAST は、アプリケーションの重要な脆弱性を、それが一般にデプロイされる前に特定するからです。この静的コード解析の段階で、開発者はコーディング、テスト、修正、そしてテストを繰り返し、最終的なアプリが脆弱性なく期待通りに機能することを確認することができる。SASTが継続的インテグレーション/継続的開発（CI/CD）パイプラインの一部として含まれる場合、これは「セキュアDevOps」または「DevSecOps」と呼ばれる。

このような脆弱性を放置したままアプリをデプロイすると、データ漏洩につながり、大きな金銭的損失やブランドの評判を落とすことになりかねません。

SASTはどのように機能するのか？

SASTは静的コード解析ツールを使用するが、これはビルの警備員のようなものだと考えることができる。スタティック・コード・アナライザは、侵入者に侵入される可能性のある鍵のかかっていないドアや開いている窓をチェックする警備員と同様に、ソースコードを見て、悪意のあるコードを注入する可能性のあるコーディングや設計の欠陥をチェックします。OWASPによると、こうした悪意のある攻撃の例としては、SQLインジェクション、コマンド・インジェクション、サーバーサイド・インジェクションなどがある。

開発者に適したSASTツールとは？

OpenText™ Fortify™ Static Code Analyzer は、ソースコード内のセキュリティ脆弱性の根本原因を突き止め、最も深刻な問題に優先順位を付け、修正方法に関する詳細なガイダンスを提供するため、開発者は一元化されたソフトウェアセキュリティ管理によって、より短時間で問題を解決することができます。

開発中にコードに混入した問題を開発者に即座にフィードバックすることで、アプリケーションのセキュリティリスクを低減する。

Fortify SCAでできること

統合されたSASTによる安全なコード
複雑なセキュリティ問題を迅速にトリアージし、修正する
主要なウェブ言語をサポート
CI/CDパイプラインでセキュリティを自動化
高速自動スキャンを開始
AppSecプログラムの規模を拡大する

フォーティファイでは...

私たちは、あなたのビジネスの経営と変革を支援します。当社のソフトウェアは、企業の構築、運営、セキュリティ、分析に必要な重要なツールを提供します。つまり、デジタルトランスフォーメーションに向けた競争において、より早く、より少ないリスクでイノベーションを起こすことができるのです。

Fortifyは、業界をリードするセキュリティ研究に裏打ちされた、最も包括的な静的および動的アプリケーションセキュリティテスト技術と、ランタイムアプリケーションモニタリングおよび保護を提供します。ソリューションを社内またはマネージドサービスとして導入することで、今日のIT組織の進化するニーズに対応した、スケーラブルで軽快なソフトウェア・セキュリティ保証プログラムを構築することができます。