# Czym jest statyczne testowanie bezpieczeństwa aplikacji (SAST)?

> Statyczne testowanie bezpieczeństwa aplikacji (static application security testing, SAST) analizuje oprogramowanie bez jego wykonywania, aby zidentyfikować wzorce mogące wskazywać na defekty bezpieczeństwa.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/static-application-security-testing/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

W zależności od metody może inspektować kod źródłowy, reprezentacje pośrednie, kod bajtowy lub skompilowane pliki binarne. Techniki obejmują dopasowanie wzorców po analizę przepływu sterowania, przepływu danych i taint analysis, która śledzi niezaufane dane w stronę wrażliwych operacji.

Ponieważ SAST działa na wewnętrznej reprezentacji oprogramowania, wyniki często mogą identyfikować plik, funkcję i linię lub ścieżkę kodu do przeglądu przez deweloperów. Może działać wcześnie i wielokrotnie w edytorze, pull requestcie lub budowie. Jego dowody są jednak opartym na modelu twierdzeniem o kodzie — nie dowodem, że atakujący może osiągnąć i wykorzystać warunek we wdrożonym systemie.

### Najważniejsze punkty

- **Badane dowody:** Kod własny lub skompilowane artefakty, kontekst budowy, semantyka języka oraz modelowane ścieżki między wejściami, transformacjami danych a operacjami wrażliwymi dla bezpieczeństwa.
- **Typowe wyniki:** Ścieżki injection, niebezpieczne operacje pamięci, słabe użycie kryptografii, zakodowane na stałe sekrety, niebezpieczne API i naruszenia zdefiniowanych przez organizację reguł kodowania.
- **Dobra eksploatacja:** Dopasuj analizatory do obsługiwanych języków i frameworków, zachowuj powtarzalne ustawienia skanowania, waliduj wyniki o dużym wpływie i kieruj potwierdzone defekty do standardów inżynieryjnych.
- **Istotne ograniczenie:** SAST może dawać fałszywe pozytywy i negatywy. Zwykle brakuje mu konfiguracji wdrożenia, stanu runtime, zachowania usług zewnętrznych i wystarczającego kontekstu biznesowego do zidentyfikowania wielu wad autoryzacji lub przepływu pracy.

### Powiązane terminy

[Dynamiczne testowanie bezpieczeństwa aplikacji (DAST)](<https://yellowcube.eu/pl/glossary/dynamic-application-security-testing/>) · [Analiza składu oprogramowania (SCA)](<https://yellowcube.eu/pl/glossary/software-composition-analysis/>) · [Shift-left security](<https://yellowcube.eu/pl/glossary/shift-left-security/>)

### Źródła

[OWASP Source Code Analysis Tools](https://owasp.org/www-community/Source_Code_Analysis_Tools) · [NISTIR 8397, Guidelines on Minimum Standards for Developer Verification of Software](https://www.nist.gov/publications/guidelines-minimum-standards-developer-verification-software)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.