什么是 SAST（静态应用安全测试）？

SAST 是一种应用安全测试类型，它在应用程序运行之前检查应用程序的源代码（开发人员编写的原始代码）、依赖项（代码依赖的外部库或包）或二进制文件（准备运行的编译代码）。这种方法通常被称为白盒测试，因为它检查代码的内部逻辑和结构以发现漏洞和缺陷，而不是仅从外部测试应用程序的行为。

SAST 在网络安全中的重要性

保护代码是 DevSecOps 的关键部分。SAST 帮助组织在软件开发生命周期的早期发现诸如 SQL 注入、跨站脚本（XSS）、弱加密和其他安全问题。这意味着团队可以更快地解决问题并降低成本。

SAST 的工作原理

• 分析源代码、二进制文件或字节码，而不执行它们。
• 识别编码实践中的漏洞（例如，缺少验证、暴露的 API 密钥）
• 集成到开发者工作流程中（CI/CD）
• 生成发现的漏洞报告，并提供解决这些漏洞的指导（修复）

SAST 常见漏洞

• SQL 注入
• 跨站脚本（XSS）
• 使用不安全的加密算法（例如，MD5，SHA-1）
• 硬编码中暴露的 API 密钥凭证
• 缓冲区溢出
• 验证错误

SAST 的好处

• 成本更低：在早期修复漏洞问题比部署后修复更便宜
• 早期检测：在开发过程中发现安全问题。
• 合规支持：符合 OWASP、PCI DSS 和 ISO 27001 等标准。
• 左移安全：从一开始就将安全集成到开发工作流程中
• 开发者友好：为开发者提供可操作的步骤以修复安全问题。

示例

在进行静态应用安全测试（SAST）时，工具发现开发人员使用不安全的MD5来对密码进行哈希处理。SAST工具将其标记为漏洞，并建议用bcrypt或Argon2替换MD5，因为这些算法比MD5更强大。

相关术语

• DAST（动态应用安全测试）
• IAST（交互式应用安全测试）
• SCA（软件成分分析）
• SSDLC
• DevSecOps