Co je SAST (Statické testování bezpečnosti aplikací)?
SAST je typ testování bezpečnosti aplikací, který kontroluje zdrojový kód aplikace (původní kód napsaný vývojáři), závislosti (externí knihovny nebo balíčky, na které se kód spoléhá) nebo binární soubory (zkompilovaný kód připravený k běhu) před jeho spuštěním. Tento přístup se často nazývá testování “white-box”, protože zkoumá vnitřní logiku a strukturu kódu na zranitelnosti a chyby, spíše než testování pouze chování aplikace zvenčí.
Proč je SAST důležitý v kybernetické bezpečnosti
Zabezpečení kódu je klíčovou součástí DevSecOps. SAST pomáhá organizacím najít zranitelnosti jako SQL Injection, Cross-Site Scripting (XSS), slabé šifrování a další bezpečnostní problémy v rané fázi životního cyklu vývoje softwaru. To znamená, že týmy mohou problémy řešit rychleji a za nižší náklady.
Jak SAST funguje
- Analyzuje zdrojový kód, binární soubory nebo bytecode bez jejich spuštění.
- Identifikuje zranitelnosti v praxi kódování (např. chybějící validace, vystavený API klíč)
- Integruje se do pracovního procesu vývojáře (CI/CD)
- Generuje zprávu o nalezených zranitelnostech a poskytuje doporučení, jak je řešit (náprava)
Běžné zranitelnosti nalezené pomocí SAST
- SQL Injection
- Cross-site scripting (XSS)
- Použití nezabezpečených kryptografických algoritmů (např. MD5, SHA-1)
- Exponované API klíče v hardcodovaném kódu
- Přetečení bufferu
- Chyba validace
Výhody SAST
- Nižší náklady: oprava zranitelností v rané fázi je méně nákladná než po nasazení
- Včasná detekce: nachází bezpečnostní problémy během vývoje.
- Podpora souladu: sladění se standardy jako OWASP, PCI DSS a ISO 27001.
- Shift-left bezpečnost: integrace bezpečnosti do vývojového procesu od začátku
- Přátelské pro vývojáře: Poskytuje vývojářům konkrétní kroky k opravě bezpečnostních problémů.
Příklad
Během testu SAST nástroj najde bezpečnostní problémy, kde vývojáři používají nezabezpečený MD5 pro hashování hesel. Nástroj SAST to označí jako zranitelnost a navrhne nahradit MD5 bcryptem nebo Argon2, které jsou silnější algoritmy ve srovnání s MD5.