Podle metody může kontrolovat zdrojový kód, mezilehlé reprezentace, bytecode či zkompilované binárky. Techniky sahají od porovnávání vzorů po analýzu toku řízení, toku dat a taint analýzu, která sleduje nedůvěryhodná data směrem k citlivým operacím.
Protože SAST pracuje na interní reprezentaci softwaru, nálezy často dokážou identifikovat soubor, funkci a řádek či cestu kódu, které mají vývojáři přezkoumat. Může běžet brzy a opakovaně v editoru, pull requestu či buildu. Jeho důkaz je však tvrzení založené na modelu kódu — nikoli důkaz, že útočník dokáže podmínku v nasazeném systému dosáhnout a zneužít.
Klíčové body
Zkoumané důkazyVlastní kód či zkompilované artefakty, kontext buildu, sémantika jazyka a modelované cesty mezi vstupy, transformacemi dat a bezpečnostně citlivými operacemi.
Typické nálezyCesty injektáží, nebezpečné paměťové operace, slabé použití kryptografie, pevně zakódované tajné údaje, nezabezpečená API a porušení organizačně definovaných pravidel kódování.
Správný provozPřizpůsobte analyzéry podporovaným jazykům a frameworkům, uchovávejte reprodukovatelná nastavení skenů, validujte nálezy s vysokým dopadem a vracejte potvrzené defekty do inženýrských standardů.
Důležité omezeníSAST může produkovat falešné pozitivy i negativy. Běžně postrádá konfiguraci nasazení, stav runtime, chování externích služeb a dostatek obchodního kontextu k identifikaci mnoha chyb autorizace či workflow.