SAST/DAST
Также: статический анализ безопасности, динамический анализ, SAST, DAST, DevSecOps сканирование
SAST (Static Application Security Testing) - анализ исходного кода на уязвимости без запуска приложения; DAST (Dynamic Application Security Testing) - атака работающего приложения снаружи, как это делал бы реальный нападающий. Первый находит проблемы на уровне кода ещё до сборки, второй выявляет то, что проявляется только в runtime - неправильные заголовки, открытые эндпойнты, уязвимые зависимости в поведении. В GitLab CI оба типа встраиваются в пайплайн как отдельные стадии и формируют отчёт в интерфейсе merge request.
Статьи с этим термином · 15
- GitLab 14.10: SAST, dependency scanning и Sigstore-подпись Docker-образов · 19 апреля 2022
- SBOM на практике: Syft + Grype для container images и интеграция в CI · 13 сентября 2021
- GitLab 14.0: разбираем breaking changes в YAML-пайплайнах и новые security scanning jobs · 28 июля 2021
- DevSecOps на практике: trivy + semgrep в GitLab CI вместо «потом разберёмся» · 22 июня 2021
- GitLab 13.8: встроенный SAST в CI - переводим клиентские пайплайны · 9 февраля 2021
- После SolarWinds пересматриваем CI/CD: Trivy, gitleaks и SBOM через Syft · 17 декабря 2020
- Supply chain через npm и PyPI: пинируем зависимости по хешу и подключаем Snyk в CI · 26 октября 2020
- Встроенный SAST в GitLab CI: Semgrep находит SQL-инъекции в легаси, о которых не подозревали · 6 августа 2020
- SonarQube и OWASP Dependency-Check в GitLab CI: первый прогон нашёл 12 критических находок, о которых никто не знал · 30 сентября 2019
- SonarQube в Jenkins: первая неделя выявила SQL-инъекции и хардкод паролей в 12 репозиториях · 25 марта 2019
- GitLab 11.4 SAST в реальном пайплайне: ложноположительные и настоящие SQL-инъекции · 22 октября 2018
- GitLab 11.0 Auto DevOps: от git push до Pod-а в Kubernetes за 8 минут без .gitlab-ci.yml · 9 июля 2018
- DevSecOps H1 2018: итоги полугодия SAST/DAST - что нашли, что поправили · 29 июня 2018
- DevSecOps: встраиваем SAST в GitLab CI и смотрим что вылезло · 30 апреля 2018
- GitLab 10.0: Auto DevOps и SAST из коробки - CI/CD за полчаса вместо Jenkinsfile · 21 сентября 2017