什麼是靜態應用程式安全測試（ SAST ）？

靜態應用程式安全測試（ SAST ）是一種常用的應用程式安全性(AppSec) 工具，它掃描應用程式的原始碼、二進位程式碼或位元組代碼。它是一種白盒測試工具，可以識別漏洞的根本原因並幫助修復潛在的安全缺陷。 SAST 解決方案從“內到外”分析應用程序，並且不需要運行的系統來執行掃描。

SAST 通過向開發人員提供有關開發過程中引入代碼的問題的即時反饋，降低應用程式中的安全風險。它有助於開發人員在工作時對他們進行安全教育，為他們提供對建議和代碼行導航的即時訪問，從而可以更快地發現漏洞和進行協作審計。這使開發人員能夠創建更多不易受到損害的代碼，從而實現更安全的應用程式，並減少 對應用程式 和軟體的持續更新和現代化的需求。

SAST 然而，工具無法辨識程式碼之外的漏洞。例如，第三方 API 中發現的漏洞不會被SAST 並且需要動態應用程式安全測試（ DAST ）。您可以了解更多有關DAST 在此頁面上，什麼是DAST ？

優點 SAST

• 掃描原始碼以查找導致漏洞的弱點
• 提供實時報告
• 涵蓋開發人員使用的語言

缺點 SAST

• 無法識別動態環境中的漏洞
• 報告誤報的高風險
• 由於報告是靜態的，因此很快就會過時

據IT安全專業人員稱，應用程式開發和測試仍然是組織最具挑戰性的安全流程。開發人員需要解決方案來幫助他們創建安全的代碼，而這正是AppSec工具發揮作用的地方。

AppSec 是流程、工具和實踐的學科，旨在在整個應用程式生命週期中保護應用程式免受威脅。

有許多方法可以測試應用程式安全性，包括：

• 靜態應用程式安全測試（ SAST ）
• 動態應用程式安全測試（ DAST ）
• 移動應用程式安全測試 （MAST）
• 互動式應用程式安全測試 （IAST）

為什麼是 SAST 重要？

SAST 是軟體開發生命週期 （SDLC） 中必不可少的一步，因為它可以在應用程式部署到公眾之前識別應用程式中的關鍵漏洞，而修復這些漏洞的成本最低。在靜態代碼分析的這個階段，開發人員可以編碼、測試、修改和再次測試，以確保最終應用程式按預期運行，沒有任何漏洞。什麼時候 SAST 作為持續集成/持續開發 （CI/CD） 管道的一部分包含在內，這稱為“安全 DevOps”或“DevSecOps”。

如果不檢查這些漏洞並按此部署應用程式，則可能導致數據洩露，從而導致重大經濟損失並損害您的品牌聲譽。

---

如何 SAST 工作？

SAST 使用靜態代碼分析工具，可以將其視為建築物的保安人員。與保安人員檢查可能為入侵者提供入口的未上鎖的門和打開的窗戶類似，靜態代碼分析器查看原始程式碼以檢查可能允許惡意代碼注入的編碼和設計缺陷。根據 OWASP 的說法，這些惡意攻擊的一些範例包括 SQL 注入、 命令注入 和 伺服器端注入等。

---

什麼是 SAST 非常適合開發人員的工具？

OpenText™ Fortify™ 靜態代碼分析器 可查明原始程式碼中安全漏洞的根本原因，確定最嚴重問題的優先順序，並提供有關如何修復這些問題的詳細指導，以便開發人員可以通過集中式軟體安全管理在更短的時間內解決問題。

它通過向開發人員提供有關開發過程中引入代碼的問題的即時反饋來降低應用程式中的安全風險。

Fortify SCA 允許您：

• 通過集成安全地編碼 SAST
• 快速會審和修復複雜的安全問題
• 支援主要的 Web 語言
• 在 CI/CD 管道中實現安全性自動化
• 啟動快速、自動的掃描
• 擴展您的AppSec計劃

在 Fortify...

我們説明您經營業務並實現業務轉型。我們的軟體提供了構建、運營、保護和分析企業所需的關鍵工具。通過設計，這些工具彌合了現有技術和新興技術之間的差距，這意味著您可以在數位化轉型的競賽中以更低的風險更快地進行創新。

Fortify 提供最全面的靜態和動態應用程式安全測試技術，以及運行時應用程式監控和保護，並以行業領先的安全研究為後盾。解決方案可以在內部部署，也可以作為託管服務部署，以構建可擴展、靈活的軟體安全保障計劃，以滿足當今IT組織不斷變化的需求。