Texto de: Lucas Galdino
Introdução
Antes de mais nada é importante definirmos aqui o que de fato significa tais siglas, SAST e DAST.
O SAST significa Static Application Security Testing (Teste Estático de Segurança de Aplicações), e se trata de uma análise estática do código-fonte de uma aplicação, nele é possível examinar o código para encontrar possíveis vulnerabilidades como SQL Injection, falhas na autenticação, problemas de validação e por aí vai.
É esperado que tal tipo de teste seja feito durante o período de desenvolvimento da aplicação, dessa forma é possível encontrar e corrigir vulnerabilidades antes mesmo da aplicação ser disponibilizada para o usuário final. Alguns exemplos de ferramentas para SAST são: SonarQube, Semgrep, Bandit, Brakeman, e por aí vai.
Já o DAST significa Dynamic Application Security Testing (Teste Dinâmico de Segurança de Aplicações), é bem similar com a ideia anterior, mas agora se trata de uma análise dinâmica feita com a aplicação já em execução e disponível para o usuário final.
Nesse tipo de análise é possível simular ataques reais à aplicação para identificar vulnerabilidades em tempo de execução, como XSS, algum problema de autenticação ou até mesmo exposição de dados sensíveis, e posteriormente corrigir problemas com atualizações para a aplicação.
Importância e uso
Um dos principais motivos para a implementação de ferramentas de DAST e SAST é detecção precoce de vulnerabilidades, afinal, quanto mais cedo você descobrir um problema, mais simples e barato é para se corrigir ele. Além de bugs e vulnerabilidades, o SAST também pode ajudar a encontrar problemas de design de arquitetura ****que não seriam fáceis de se corrigir depois. Já o DAST pode ser importante para validar na prática a segurança da aplicação, com os teste feitos durante a execução da aplicação é possível encontrar vulnerabilidades que o time de desenvolvimento não pensavam que poderia acontecer.
Outro ponto importante é a redução de riscos de incidentes de segurança, afinal se você encontra e corrige vulnerabilidades antes do deploy da aplicação de fato acontecer, por consequência você reduz drasticamente o risco de um ataque real ou de um vazamento de dados acontecer. No final das contas é uma economia de tempo e também de dinheiro, pois corrigir um problema com a aplicação em produção implica em um gasto várias vezes maior por ser necessário tirar a aplicação do ar em alguns casos.
Já quando se trata do que fazer para fazer a utilização do SAST e DAST de forma mais específica e técnica vai depender bastante da aplicação que será alvo de tais práticas e também do time responsável pela aplicação. Diversas ferramentas gratuitas e não gratuitas estão disponíveis para uso no mercado e uma boa pesquisada sobre o assunto pode ajudar bastante o time a encontrar a ferramenta mais interessante para o caso.
Ferramentas
Algumas das ferramentas mais conhecidas são:
SAST
SonarQube: Analisa o código-fonte para detectar bugs, vulnerabilidades e problemas de qualidade. Suporta várias linguagens e pode ser integrado a CI/CD.
Checkmarx: Ferramenta comercial poderosa que faz varredura estática no código para encontrar falhas de segurança com foco em conformidade e precisão.
Fortify Static Code Analyzer (SCA): Da Micro Focus, realiza análises detalhadas do código para encontrar vulnerabilidades em várias linguagens, com forte foco corporativo.
DAST
OWASP ZAP (Zed Attack Proxy): Ferramenta open source que realiza testes de segurança dinâmicos em aplicações web, útil para encontrar vulnerabilidades como XSS e SQLi.
Burp Suite: Muito usada por pentesters, permite análise dinâmica detalhada de aplicações web, com ferramentas para escaneamento automático e testes manuais.
Acunetix: Ferramenta comercial que realiza varredura automatizada em aplicações web em execução, identificando diversas vulnerabilidades com boa precisão.
Conclusão
Em resumo, o SAST atua prevenindo problemas no código, enquanto DAST atua detectando vulnerabilidades reais na aplicação rodando. Usar ambos desde o início é essencial para construir um software, uma aplicação segura, confiável e até mesmo econômica.
