Trate falhas de segurança enquanto o código ainda está em desenvolvimento.
Analise o código das aplicações, identifique potenciais vulnerabilidades e oriente correções ao longo do desenvolvimento.
O Teste Estático de Segurança de Aplicações (SAST, do inglês Static Application Security Testing) é a prática de analisar o código de uma aplicação, sem executá-la, para encontrar padrões que podem indicar vulnerabilidades. Também é conhecido como análise estática de código e é uma das frentes da segurança de aplicações. O SAST avalia o código incluído no escopo contratado ainda durante o desenvolvimento e ajuda desenvolvedores e times de segurança a incorporar a segurança à rotina de desenvolvimento.
- Times de desenvolvimento que querem identificar falhas antes da publicação das aplicações;
- Times de AppSec e SecDevOps que precisam estruturar a análise de segurança do código;
- Organizações com aplicações próprias que precisam acompanhar a segurança delas.
O SAST olha para o código antes de a aplicação rodar. O DAST (Dynamic Application Security Testing) observa a aplicação em execução. Os dois olham para aspectos diferentes e podem ser usados em conjunto. Já o Pentest Automatizado complementa a análise estática com simulações controladas.
Segurança no ritmo do desenvolvimento
Quatro passos para encontrar potenciais falhas no código e acompanhar as correções a cada nova versão.
Defina o código a avaliar
Selecione as aplicações e confirme a compatibilidade das linguagens e tecnologias.
Execute a análise estática
Examine o código sem depender da execução funcional da aplicação.
Revise os achados
Valide os resultados com os responsáveis pelo código e organize a correção.
Reanalise as alterações
Verifique os ajustes e acompanhe os resultados em novas versões.
Código mais seguro em cada etapa
Descubra como a análise estática apoia seus times de desenvolvimento e segurança ao longo do ciclo de vida das aplicações.
Desafio
Falhas descobertas só depois que a aplicação vai ao ar são mais caras e mais arriscadas de corrigir.
Solução
Analise o código ainda durante o desenvolvimento da nova aplicação e identifique potenciais falhas.
Resultado
Seu time corrige os problemas antes da publicação, quando o ajuste ainda é mais simples.
Desafio
Aplicações antigas continuam em uso, mas ninguém sabe ao certo quais pontos de atenção existem no código.
Solução
Use a análise estática para estabelecer uma visão inicial dos pontos de atenção nesses códigos.
Resultado
Você sabe onde estão os riscos das aplicações legadas e consegue priorizar as correções.
Desafio
Alterações relevantes no código podem introduzir padrões inseguros sem que o time perceba.
Solução
Analise as alterações relevantes antes de publicá-las.
Resultado
Seu time evita que novas versões levem padrões inseguros para o ambiente.
Desafio
Sem retorno concreto, os mesmos erros de segurança tendem a se repetir no código.
Solução
Use os achados como base para as correções e para aprimorar as práticas de programação segura.
Resultado
Seus desenvolvedores aprendem com os achados e escrevem código mais seguro nas próximas versões.
Combine com outras soluções de segurança
Use com outros módulos da plataforma para criar jornadas mais completas e seguras.
Pentest Automatizado
Valide seus controles com simulações autorizadas; o SAST complementa com a análise do código das aplicações.
Gestão da Superfície de Ataque (ASM)
Acompanhe a exposição externa das aplicações e dos serviços publicados; o SAST cuida da segurança do código antes da publicação.
Conscientização em Segurança da Informação
Fortaleça a cultura de segurança entre os colaboradores; o SAST leva achados concretos para a rotina dos desenvolvedores.
Perguntas frequentes
O que é SAST (Static Application Security Testing)?
SAST é a sigla de Static Application Security Testing, ou teste estático de segurança de aplicações: a análise do código-fonte, sem executar a aplicação, para identificar padrões que podem indicar vulnerabilidades. O objetivo é corrigir falhas ainda durante o desenvolvimento.
O que é análise estática de código e qual a relação com o SAST?
Análise estática de código é o exame do código sem executá-lo. Aplicada à segurança, é a base do SAST: busca padrões que podem indicar vulnerabilidades e orienta a revisão pelos desenvolvedores.
Qual a diferença entre SAST e DAST?
O SAST (Static Application Security Testing) analisa o código sem executar a aplicação. O DAST (Dynamic Application Security Testing) avalia a aplicação em execução. Cada um observa aspectos diferentes da segurança de aplicações.
SAST e DAST devem ser usados juntos?
Podem ser. Como os dois observam aspectos diferentes, a combinação pode dar uma visão mais completa. A escolha depende do objetivo da avaliação e da etapa do desenvolvimento.
A aplicação precisa estar em execução?
Não. A análise estática examina o código e não depende de uma aplicação em execução para fazer a avaliação.
Quais linguagens são suportadas?
A cobertura de linguagens, frameworks e formatos de projeto deve ser confirmada para as aplicações incluídas no escopo.
Todo achado representa uma vulnerabilidade explorável?
Não. Os resultados precisam ser revisados no contexto da aplicação para confirmar a relevância de cada um e tratar possíveis falsos positivos.
O SAST substitui testes dinâmicos e pentest?
Não. Cada abordagem observa aspectos diferentes da segurança e pode contribuir para uma avaliação mais completa.
É necessário disponibilizar o código?
Sim. A análise precisa acessar o código incluído no escopo. O método de acesso e as condições de tratamento são definidos na contratação.
Segurança desde o código
Entre em contato com nosso time e descubra como o SAST: Teste Estático de Segurança de Aplicações pode ajudar seu time a corrigir falhas de segurança ainda no desenvolvimento.