# Co je statické testování zabezpečení aplikací (SAST)?

> Statické testování zabezpečení aplikací (static application security testing, SAST) analyzuje software bez jeho spuštění, aby identifikovalo vzory, které mohou indikovat bezpečnostní defekty.

- Kanonická URL: https://yellowcube.eu/cs/glossary/static-application-security-testing/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Podle metody může kontrolovat zdrojový kód, mezilehlé reprezentace, bytecode či zkompilované binárky. Techniky sahají od porovnávání vzorů po analýzu toku řízení, toku dat a taint analýzu, která sleduje nedůvěryhodná data směrem k citlivým operacím.

Protože SAST pracuje na interní reprezentaci softwaru, nálezy často dokážou identifikovat soubor, funkci a řádek či cestu kódu, které mají vývojáři přezkoumat. Může běžet brzy a opakovaně v editoru, pull requestu či buildu. Jeho důkaz je však tvrzení založené na modelu kódu — nikoli důkaz, že útočník dokáže podmínku v nasazeném systému dosáhnout a zneužít.

### Klíčové body

- **Zkoumané důkazy:** Vlastní kód či zkompilované artefakty, kontext buildu, sémantika jazyka a modelované cesty mezi vstupy, transformacemi dat a bezpečnostně citlivými operacemi.
- **Typické nálezy:** Cesty injektáží, nebezpečné paměťové operace, slabé použití kryptografie, pevně zakódované tajné údaje, nezabezpečená API a porušení organizačně definovaných pravidel kódování.
- **Správný provoz:** Přizpůsobte analyzéry podporovaným jazykům a frameworkům, uchovávejte reprodukovatelná nastavení skenů, validujte nálezy s vysokým dopadem a vracejte potvrzené defekty do inženýrských standardů.
- **Důležité omezení:** SAST může produkovat falešné pozitivy i negativy. Běžně postrádá konfiguraci nasazení, stav runtime, chování externích služeb a dostatek obchodního kontextu k identifikaci mnoha chyb autorizace či workflow.

### Související termíny

[Dynamické testování zabezpečení aplikací (DAST)](<https://yellowcube.eu/cs/glossary/dynamic-application-security-testing/>) · [Analýza složení softwaru (SCA)](<https://yellowcube.eu/cs/glossary/software-composition-analysis/>) · [Shift-left zabezpečení](<https://yellowcube.eu/cs/glossary/shift-left-security/>)

### Zdroje

[OWASP Source Code Analysis Tools](https://owasp.org/www-community/Source_Code_Analysis_Tools) · [NISTIR 8397, Guidelines on Minimum Standards for Developer Verification of Software](https://www.nist.gov/publications/guidelines-minimum-standards-developer-verification-software)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.