คืออะไร การทดสอบความปลอดภัยแอปพลิเคชันแบบสถิต
การวิเคราะห์โค้ดแบบสถิตสำหรับช่องโหว่
SAST (การทดสอบความปลอดภัยแอปพลิเคชันแบบสถิต) — วิธีการทดสอบความปลอดภัยของแอปพลิเคชันโดยการวิเคราะห์ซอร์สโค้ดโดยไม่ต้องรันมัน
วิธีการทำงาน
- วิเคราะห์ซอร์สโค้ด ไบต์โค้ด หรือไบนารี
- ตรวจจับช่องโหว่ตามรูปแบบ
- ตรวจสอบการปฏิบัติตามมาตรฐานความปลอดภัย
- การรวมเข้ากับ CI/CD pipeline
ประเภทช่องโหว่
- SQL injection
- XSS (Cross-Site Scripting)
- การ deserialize ที่ไม่ปลอดภัย
- การรั่วไหลของความลับ (API keys, รหัสผ่าน)
- Buffer overflow
ข้อดี
- ตรวจจับช่องโหว่ได้เร็ว
- ครอบคลุม codebase 100%
- การตรวจสอบอัตโนมัติ
- ลดต้นทุนการแก้ไข
เครื่องมือ
- SonarQube
- Checkmarx
- Fortify
- Veracode
- Semgrep