Segurança

A comparação entre SCA, SAST, IAST, MAST e DAST envolve diferentes abordagens para testar a segurança de softwares e aplicações. Veja a seguir uma explicação e comparação de cada um:

Software Composition Analysis¶

Análise de componentes de software de terceiros. O SCA analisa o código de terceiros ou bibliotecas de código aberto que uma aplicação utiliza, verificando se há vulnerabilidades conhecidas nesses componentes.

Identificação de dependências de código externo, como bibliotecas ou frameworks, que podem ter falhas de segurança conhecidas.

Static Application Security Testing (SAST)¶

Análise de código-fonte estático.O SAST examina o código-fonte ou o código compilado de uma aplicação em busca de falhas de segurança sem a necessidade de executá-la.

A análise ocorre antes de a aplicação ser executada, permitindo encontrar vulnerabilidades no código, como SQL injection, buffer overflow, falhas de criptografia, entre outras.

Interactive Application Security Testing (IAST)¶

Análise dinâmica interativa, durante a execução da aplicação. O IAST combina características do SAST e do DAST, monitorando a aplicação enquanto ela está em execução para detectar vulnerabilidades interativas. Realiza a análise enquanto a aplicação está em uso, combinando dados de análise estática e dinâmica para uma verificação mais profunda.

Mobile Application Security Testing (MAST)¶

Teste de segurança de aplicações móveis. MAST é uma metodologia de teste de segurança aplicada especificamente para aplicativos móveis, tanto para plataformas Android quanto iOS.

Identificação de falhas de segurança exclusivas de aplicações móveis, como problemas de configuração, vazamento de dados, falhas de criptografia, permissões inseguras e outros riscos relacionados a dispositivos móveis.

Dynamic Application Security Testing (DAST)¶

Teste de segurança de aplicações em execução. O DAST realiza testes de segurança em tempo real em aplicações web ou APIs enquanto elas estão sendo executadas, simulando ataques de fora para dentro (black-box testing). Identificação de falhas de segurança em tempo de execução, sem acesso ao código-fonte. O DAST simula ações de um atacante para encontrar vulnerabilidades como XSS, CSRF, injeção de comandos, etc.

Comparação¶