SAST

SAST (ראשי תיבות של: Static Application Security Testing) הוא כינוי לבדיקה סטטית של אבטחת יישומים. בדיקה זו משמשת לאבטחת תוכנה על ידי בדיקת קוד המקור של התוכנה לזיהוי חולשות ופגיעויות. אף שתהליך ניתוח הסטטי של קוד מקור קיים כמעט מאז שהומצאו המחשבים, אך הטכניקה התפשטה לניתוח היבטי אבטחה בסוף שנות ה-90 ובדיון הציבורי הראשון בהזרקת SQL בשנת 1998, כאשר יישומי אינטרנט שילבו טכנולוגיות חדשות כמו JavaScript ו-Adobe Flash Player.

בניגוד לכלי בדיקת אבטחת יישומים דינמיים (DAST) לבדיקות קופסה שחורה של פונקציונליות היישום, כלי SAST מתמקדים בתוכן הקוד של היישום, בדיקת קופסה לבנה. כלי SAST סורק את קוד המקור של היישום ומרכיביו כדי לזהות פגיעות אבטחה אפשריות בתוכנה ובארכיטקטורה שלהם. כלי ניתוח סטטי יכולים לזהות כ-50% מהפגיעות האבטחיות הקיימות.

במחזור החיים של פיתוח מוצר תוכנה מבוצעת SAST מוקדם בתהליך הפיתוח וברמת הקוד, וגם כאשר כל חלקי הקוד והרכיבים מורכבים בסביבת בדיקות עקבית. SAST משמש גם להבטחת איכות תוכנה. לעיתים, מקרים רבים של תוצאות "חיובי כוזב" (false-positive) מעכבים את אימוצה על ידי מפתחים.

כלי SAST משולבים בתהליך הפיתוח כדי לסייע לצוותי הפיתוח מכיוון שהם מתמקדים בעיקר בפיתוח ומסירת תוכנה המתייחסת למפרט המבוקש. כלי SAST, כמו כלי אבטחה אחרים, מתמקדים בהפחתת הסיכון להשבתה של יישומים או שמידע פרטי המאוחסן ביישומים לא ייפגע.

לשנת 2018, מסד הנתונים של Privacy Rights Clearinghouse הראה כי יותר מ-612 מיליוני רשומות נפגעו מפריצה.

הערות שוליים 

תוכנות אבטחת מחשבים
תוכנה
אבטחת מידע