セキュリティ
SAST（静的アプリケーションセキュリティテスト）
Static Application Security Testing
読み：さすと
アプリのコードなどを実行せずに解析し、安全性に関わる弱点の候補を見つける検査です。
01初心者向け
まず意味をつかむ
プログラムを動かして試す前に、記述やデータの流れを調べます。開発中の早い段階で危険な書き方へ気付き、修正につなげやすくします。
02実務者向け
仕事でどう使うか
対象言語と解析範囲を決め、開発や変更確認の工程へ組み込みます。重大度だけでなく実際の到達可能性を確認し、誤検知の扱い、対応期限、例外の承認を管理します。
03専門家向け
判断を一段深める
実行時の設定や外部サービスの動作まで完全に把握できるわけではありません。検出件数だけで品質を評価せず、見逃す弱点と誤検知を理解し、動的検査や設計レビューで補います。
IN PRACTICE
具体例で考える
架空の申請APIで変更時に解析を行い、入力からSQL生成へ流れる箇所を検出します。担当者が指摘を確認し、値を分離する実装へ直します。
理解を助けるための架空の例です。コード等を入力
静的な安全性解析
人が確認し改善
検出は弱点候補であり、すべての指摘が侵害可能とは限りません。
ここは誤解しやすい
指摘をすべて無条件に修正しても、運用上の弱点や設計上の権限問題を網羅できるとは限りません。
この知識を、組織の力へ。