Che cos’è SAST (Static Application Security Testing)?
SAST è un tipo di test di sicurezza delle applicazioni che verifica il codice sorgente di un’applicazione (il codice originale scritto dagli sviluppatori), le dipendenze (librerie o pacchetti esterni su cui il codice si basa) o i binari (codice compilato pronto per l’esecuzione) prima che venga eseguito. Questo approccio è spesso chiamato test di scatola bianca perché esamina la logica interna e la struttura del codice per individuare vulnerabilità e difetti, piuttosto che testare solo il comportamento dell’applicazione dall’esterno.
Perché SAST è importante nella cybersecurity
Proteggere il codice è una parte fondamentale di DevSecOps. SAST aiuta le organizzazioni a trovare vulnerabilità come SQL Injection, Cross-Site Scripting (XSS), crittografia debole e altri problemi di sicurezza all’inizio del ciclo di vita dello sviluppo software. Questo significa che i team possono risolvere i problemi più rapidamente e a un costo inferiore.
Come funziona SAST
- Analizza il codice sorgente, i binari o il bytecode senza eseguirli.
- Identifica le vulnerabilità nelle pratiche di codifica (ad esempio, validazione mancante, chiave API esposta)
- Integra nel flusso di lavoro degli sviluppatori (CI/CD)
- Genera un report sulle vulnerabilità trovate e fornisce indicazioni su come risolverle (remediation)
Vulnerabilità comuni trovate da SAST
- Iniezione SQL
- Cross-site scripting (XSS)
- Uso di algoritmi crittografici insicuri (ad esempio, MD5, SHA-1)
- Credenziali API esposte nel codice hardcoded
- Overflow del buffer
- Errore di validazione
Vantaggi del SAST
- Costo inferiore: risolvere i problemi di vulnerabilità in anticipo è meno costoso rispetto al post-deployment
- Rilevamento precoce: trova problemi di sicurezza durante lo sviluppo.
- Supporto alla conformità: allinearsi con standard come OWASP, PCI DSS e ISO 27001.
- Sicurezza shift-left: integrare la sicurezza nel flusso di lavoro di sviluppo fin dall’inizio
- Amichevole per gli sviluppatori: fornire allo sviluppatore passaggi attuabili per risolvere i problemi di sicurezza.
Esempio
Durante un test SAST, lo strumento trova problemi di sicurezza dove gli sviluppatori usano MD5 insicuro per hashare le password. Lo strumento SAST lo segnala come una vulnerabilità e suggerisce di sostituire MD5 con bcrypt o Argon2, che sono algoritmi più robusti rispetto a MD5.