Che cos’è SAST (Static Application Security Testing)?

SAST è un tipo di test di sicurezza delle applicazioni che verifica il codice sorgente di un’applicazione (il codice originale scritto dagli sviluppatori), le dipendenze (librerie o pacchetti esterni su cui il codice si basa) o i binari (codice compilato pronto per l’esecuzione) prima che venga eseguito. Questo approccio è spesso chiamato test white-box perché esamina la logica interna e la struttura del codice alla ricerca di vulnerabilità e difetti, piuttosto che testare solo il comportamento dell’applicazione dall’esterno.

Perché SAST è importante nella cybersecurity

Proteggere il codice è una parte fondamentale di DevSecOps. SAST aiuta le organizzazioni a trovare vulnerabilità come SQL Injection, Cross-Site Scripting (XSS), crittografia debole e altri problemi di sicurezza all’inizio del ciclo di vita dello sviluppo software. Ciò significa che i team possono risolvere i problemi più rapidamente e a un costo inferiore.

Come funziona SAST

• Analizzare il codice sorgente, i binari o il bytecode senza eseguirli.
• Identifica le vulnerabilità nelle pratiche di codifica (ad esempio, mancata validazione, chiave API esposta)
• Integrare nel flusso di lavoro dello sviluppatore (CI/CD)
• Generare un rapporto sulle vulnerabilità trovate e fornire indicazioni su come risolverle (rimedi)

Vulnerabilità comuni trovate da SAST

• Iniezione SQL
• Cross-site scripting (XSS)
• Uso di algoritmi crittografici insicuri (ad esempio, MD5, SHA-1)
• Credenziali della chiave API esposte nel codice hardcoded
• Overflow del buffer
• Errore di validazione

Vantaggi di SAST

• Costo inferiore: risolvere i problemi di vulnerabilità in anticipo è meno costoso rispetto al post-deployment
• Rilevamento precoce: trova problemi di sicurezza durante lo sviluppo.
• Supporto alla conformità: allinearsi con standard come OWASP, PCI DSS e ISO 27001.
• Sicurezza shift-left: integrare la sicurezza nel flusso di lavoro di sviluppo fin dall’inizio
• Amichevole per gli sviluppatori: fornire agli sviluppatori passaggi concreti per risolvere i problemi di sicurezza.

Esempio

Durante un test SAST, lo strumento trova problemi di sicurezza dove gli sviluppatori usano MD5 insicuro per hashare le password. Lo strumento SAST lo segnala come una vulnerabilità e suggerisce di sostituire MD5 con bcrypt o Argon2, che sono algoritmi più forti rispetto a MD5.

Termini Correlati

• DAST (Dynamic Application Security Testing)
• IAST (Interactive Application Security Testing)
• SCA (Software Composition Analysis)
• SSDLC
• DevSecOps