¿Qué hacen las herramientas SAST, DAST y SCA?
Opciones
- SAST: código fuente; DAST: app en ejecución; SCA: librerías (Opción correcta)
- Son tres tipos distintos de motor de base de datos
- Son tres algoritmos modernos de cifrado para TLS
- Solo miden el rendimiento del código
Respuesta
SAST escanea tu código fuente en busca de vulnerabilidades sin ejecutarlo; DAST ataca la aplicación en ejecución desde fuera; SCA encuentra vulnerabilidades conocidas en librerías de terceros
Por qué
Las pruebas de seguridad ocurren en distintos niveles:
- SAST (Static Application Security Testing): analiza el código fuente o el bytecode pronto, por ejemplo SonarQube, SpotBugs, Semgrep, CodeQL.
- DAST (Dynamic): prueba una app en ejecución como lo haría un atacante, por ejemplo OWASP ZAP, Burp Suite.
- SCA (Software Composition Analysis): compara tus dependencias con bases de datos de vulnerabilidades, por ejemplo OWASP Dependency-Check, Dependabot, Snyk.
Ejecutarlas en el pipeline de CI forma parte de "shift left": encontrar los problemas pronto, cuando son baratos de arreglar.
Recuerda
SAST = código, DAST = app en ejecución, SCA = librerías.