Vad är SAST (Statisk Applikationssäkerhetstestning)?

SAST är en typ av applikationssäkerhetstestning som kontrollerar en applikations källkod (den ursprungliga koden som skrivits av utvecklare), beroenden (externa bibliotek eller paket som koden är beroende av), eller binärer (kompilerad kod redo att köras) innan den körs. Denna metod kallas ofta för white-box-testning eftersom den undersöker den interna logiken och strukturen i koden för sårbarheter och brister, istället för att bara testa applikationens beteende från utsidan.

Varför SAST är viktigt inom cybersäkerhet

Att säkra kod är en viktig del av DevSecOps. SAST hjälper organisationer att hitta sårbarheter som SQL-injektion, Cross-Site Scripting (XSS), svag kryptering och andra säkerhetsproblem tidigt i mjukvaruutvecklingslivscykeln. Detta innebär att team kan åtgärda problem snabbare och till en lägre kostnad.

Hur SAST fungerar

• Analysera källkod, binärer eller bytekod utan att köra dem.
• Identifierar sårbarheter i kodningspraxis (t.ex. saknad validering, exponerad API-nyckel)
• Integrera i utvecklarens arbetsflöde (CI/CD)
• Generera en rapport över sårbarheter som hittats och ge vägledning om hur man löser dem (åtgärd)

Vanliga sårbarheter som hittas av SAST

• SQL-injektion
• Cross-site scripting (XSS)
• Användning av osäkra kryptografiska algoritmer (t.ex. MD5, SHA-1)
• Exponerade API-nyckeluppgifter i hårdkodad
• Buffertöverskridning
• Valideringsfel

Fördelar med SAST

• Billigare kostnad: att åtgärda sårbarhetsproblem tidigt är billigare än efter distribution
• Tidig upptäckt: hittar säkerhetsproblem under utvecklingen.
• Stöd för efterlevnad: anpassa till standarder som OWASP, PCI DSS och ISO 27001.
• Shift-left säkerhet: integrera säkerhet i utvecklingsarbetsflödet från början
• Utvecklarvänlig: Ge utvecklaren handlingsbara steg för att åtgärda säkerhetsproblem.

Exempel

Under ett SAST-test hittar verktyget säkerhetsproblem där utvecklare använder osäkra MD5 för att hasha lösenord. SAST-verktyget flaggar det som en sårbarhet och föreslår att ersätta MD5 med bcrypt eller Argon2, som är starkare algoritmer jämfört med MD5.

Relaterade termer

• DAST (Dynamisk applikationssäkerhetstestning)
• IAST (Interaktiv applikationssäkerhetstestning)
• SCA (Programvarusammansättningsanalys)
• SSDLC
• DevSecOps