静的アプリケーションセキュリティテスト

静的アプリケーションセキュリティテスト（SAST）は、ソフトウェアのソースコードをレビューしてセキュリティ上の脆弱性を特定することで、ソフトウェアのセキュリティを確保するために使用されます。プログラムコードを読み取ってチェックするプロセス（現代では静的プログラム解析として知られています）は、コンピュータが存在する限り存在していましたが、この技術がセキュリティ分野に広まったのは1990年代後半で、WebアプリケーションがJavaScriptやFlashなどの新しい技術を統合した1998年にSQLインジェクションについて初めて公に議論されました。

アプリケーションの機能のブラックボックステストを行う動的アプリケーションセキュリティテスト（DAST）ツールとは異なり、SASTツールはアプリケーションのコードコンテンツに焦点を当てたホワイトボックステストを行います。SASTツールは、アプリケーションとそのコンポーネントのソースコードをスキャンして、ソフトウェアとアーキテクチャにおける潜在的なセキュリティ脆弱性を特定します。静的解析ツールは、テスト対象アプリケーションに存在するセキュリティ脆弱性の約50%を検出できると推定されています。^{[ 1 ]}

ソフトウェア開発ライフサイクル（SDLC）では、SASTは開発プ​​ロセスの初期段階でコードレベルで実行され、すべてのコードとコンポーネントが統一されたテスト環境にまとめられたときにも実行されます。SASTはソフトウェア品質保証にも使用されますが^{[ 2 ]} 、結果として生じる多くの誤検出が開発者による採用を妨げています^{[ 3 ] 。}

SASTツールは、開発チームが要求仕様に準拠したソフトウェアの開発と提供に主眼を置いているため、開発プロセスに統合されています。^{[ 4 ]} SASTツールは、他のセキュリティツールと同様に、アプリケーションのダウンタイムのリスクを軽減したり、アプリケーションに保存されている個人情報が侵害されないようにすることに重点を置いています。

リリース前に実施されるアプリケーションセキュリティテストには、静的アプリケーションセキュリティテスト（SAST）、動的アプリケーションセキュリティテスト（DAST）、および両者を組み合わせた対話型アプリケーションセキュリティテスト（IAST）が含まれます。 ^{[ 5 ]}

静的解析ツールは、プログラムのテキストを構文的に調べます。ソースコード内の固定されたパターンまたはルールを探します。理論的には、コンパイルされたソフトウェアの形式を調べることもできます。この手法は、コンパイルされたコンポーネントとソースコードコンポーネント間のマッピングを行うためにコードの計測に依存しており、問題を特定します。静的解析は、セキュリティを含むさまざまな目的でコードレビューやコードの監査として手動で行うことができますが、時間がかかります。^{[ 6 ]}

SASTツールの精度は、分析範囲と脆弱性を特定するために使用される具体的な手法によって決まります。分析レベルには、以下のようなものがあります。

• 機能レベル：指示のシーケンス
• ファイルレベルまたはクラスレベル：オブジェクト作成のための拡張可能なプログラムコードテンプレート
• アプリケーションレベル：相互作用するプログラムまたはプログラム群

分析の範囲によって、コンテキスト情報を使用して脆弱性を検出する精度と能力が決まります。^{[ 7 ]} SASTツールは、DASTツールとは異なり、開発者にリアルタイムのフィードバックを提供し、コードを次のレベルに進める前に欠陥を安全にするのに役立ちます。

関数レベルでは、関数内のデータの流れを制御するために抽象構文木を構築するのが一般的な手法である。 ^{[ 8 ]}

1990年代後半以降、ビジネス上の課題に適応する必要性から、プロセスと開発チームの組織化によって強制されるコンポーネント化^{[ 9 ]によってソフトウェア開発が変革されました。 [ 10 ]}アプリケーションまたはアプリケーション群のすべてのコンポーネント間のデータの流れを追跡することで、サニタイズ専用の手順への必要な呼び出しを検証し、特定のコード内のデータを汚染するための適切なアクションが実行されるようになります。^{[ 11 ] [ 12 ]}

ウェブアプリケーションの台頭に伴い、それらのテストが必要となった。Verizon Data Breachは2016年に、すべてのデータ侵害の40%がウェブアプリケーションの脆弱性を利用していると発表した。^{[ 13 ]}外部セキュリティ検証と内部脅威への注目が高まっている。Clearswift Insider Threat Index (CITI)は、2015年の調査で回答者の92%が過去12か月間にITまたはセキュリティインシデントを経験しており、これらの侵害の74%が内部関係者によるものであると報告している。^{[ 14 ] [ 15 ]} Lee Hadlingtonは内部脅威を悪意のあるもの、偶発的なもの、意図的でないものの3つのカテゴリに分類した。モバイルアプリケーションの爆発的な成長は、悪意のあるコードの開発を減らすために、開発プロセスの早い段階でアプリケーションを保護する必要があることを意味する。^{[ 16 ]}

SDLC の早い段階で脆弱性を修正すればするほど、修正コストは安くなります。開発段階での修正コストはテスト段階の 10 分の 1、本番環境の 100 分の 1 です。^{[ 17 ]} SAST ツールはコード レベルまたはアプリケーション レベルで自動的に実行され、操作は不要です。CI /CD環境に統合すると、重大な脆弱性が特定された場合に統合プロセスを自動的に停止するために SAST ツールを使用できます。^{[ 18 ]}

他のタイプのテストと比較したもう1つの利点は、SASTツールはソースコード全体をスキャンするのに対し、動的アプリケーションセキュリティテストツールは実行をカバーし、アプリケーションの一部^{[ 5 ]}や構成ファイル内の安全でない構成を見落とす可能性があることです。

SASTツールは、品質テストやアーキテクチャテストなどの拡張機能を提供できます。ソフトウェアの品質とセキュリティには直接的な相関関係があります。品質の低いソフトウェアは、セキュリティも低いソフトウェアです。^{[ 19 ]}

開発者はSASTツールの使用に肯定的であるものの、その導入にはさまざまな課題がある。^{[ 4 ]}例えば、研究によると、これらのツールによって生成される出力は長いにもかかわらず、使いやすさに欠ける可能性がある。^{[ 20 ]}

ソフトウェア開発におけるアジャイルプロセスでは、このフレームワークを使用する開発者がまず機能と納品に集中するため、SASTの早期統合によって多くのバグが発生します。^{[ 21 ]}

SASTツールで多数のコード行をスキャンすると、単一のアプリケーションに対して数百または数千の脆弱性警告が発生する可能性があります。これにより、多くの誤検出が発生し、調査時間が長くなり、ツールの信頼性が低下します。これは、脆弱性のコンテキストがツールで検出できない場合に特に当てはまります。^{[ 3 ]}

• セキュリティテスト
• リンター（ソフトウェア）
• 動的アプリケーションセキュリティテスト
• 対話型アプリケーションセキュリティテスト
• 静的プログラム解析