SAST（Static Application Security Testing，静态应用程序安全测试）是一种在静态条件下分析代码以检测安全漏洞的技术。它在软件开发生命周期的早期进行，帮助开发者在代码部署之前识别并修复安全问题。
SAST的作用
- 早期检测漏洞（Early Detection of Vulnerabilities）：在开发阶段识别潜在漏洞，降低后续修复的成本。
- 提高代码质量（Improve Code Quality）：帮助识别不良的编码实践，提高代码的整体质量。
- 支持法规合规（Compliance Support）：确保代码符合行业安全标准和法规。
- 提升开发效率（Increase Development Efficiency）：通过自动化扫描减少手动审查的时间。
- 教育开发人员（Developer Education）：通过提供反馈和修复建议，教育开发者关于安全编码实践。
SAST的类型分类
- 基于模式的分析（Pattern-Based Analysis）：使用预定义的模式来识别已知的漏洞。
- 数据流分析（Data Flow Analysis）：分析数据在代码中的流动路径，检测潜在的安全问题。
- 语法解析和上下文分析（Syntax and Contextual Analysis）：通过构建语法树理解代码结构，并进行上下文分析。
- 配置检查（Configuration Review）：审查配置文件和设置，发现可能导致安全问题的错误配置。
- 集成开发环境插件（IDE Plugins）：提供实时检测功能，帮助开发者在编码期间识别问题。
具体工具及其特点
-
Checkmarx
- 强大的集成能力，支持多种编程语言（尤其是JavaScript, Objective-C），适合企业级应用，详细的漏洞报告和修复建议。
-
SonarQube
- 开源工具，支持多种语言，易于集成到 CI/CD 管道中，提供代码质量和安全性分析。
-
Coverity
- 深度静态分析，支持广泛的编程语言（尤其是C/C++），低误报率，易于与 CI/CD 工具集成，提供详细的缺陷报告。
-
Fortify Static Code Analyzer（SCA）
- 适用于大型企业，支持多种语言，提供全面的安全性和合规性分析。
-
Veracode Static Analysis
- 基于云的解决方案，快速扫描，提供详细的修复建议，易于集成。
-
CodeQL/GitHub Advanced Security (GHAS)
- 可编程查询语言，用于识别代码中的模式，GitHub 集成，允许自定义查询，支持安全与质量分析。常用于Java, JSP等
-
Bandit（Python 专用）
- 专为 Python 设计，开源工具，快速检测常见安全问题。
-
Brakeman（Ruby on Rails 专用）
- 专为 Ruby on Rails 应用设计的开源工具，适合在开发早期快速扫描。
在选择 SAST 工具时，需考虑项目的具体需求、支持的编程语言、集成能力以及企业的技术栈和预算。通常情况下，多个工具可以结合使用，以覆盖更全面的安全检测需求。
