静的解析／動的解析とは？せいてきかいせき、どうてきかいせき
静的解析／動的解析とは、静的解析（SAST）はソースコードやバイナリを実行せずに走査して危険な記述を洗い出し、動的解析（DAST）は実際に動かして入力を与え、応答から脆弱性を判断する。ソースが要るか動作環境が要るかが互いに逆で、見つかる欠陥の種類も違うため、片方だけでは診断の結論が偏る。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →背景
脆弱性は、コードの書き方に起因するものと、設定や構成、実行時の組合せに起因するものの両方から生じる。前者はコードを読まなければ分からず、後者は動かさなければ現れない。片方だけで診断すると「通った」という結論が意味を持たなくなるため、開発工程のどこで何を掛けるかを設計する必要がある。応用情報ではセキュリティテストの手法として問われる。
具体例
SonarQubeのような静的解析ツールをCIに組み込んでコミットのたびに走らせ、OWASP ZAPのような動的解析ツールはステージング環境へ定期的に掛ける、という併用が一般的である。依存ライブラリの既知脆弱性はどちらでも見つからないため、SCA（ソフトウェア構成分析）を別に置く。
試験での引っ掛け
静的解析はソースが必要だが実行環境は不要で、到達しない経路まで指摘するため偽陽性が多い。動的解析は動作環境が必要だがソースは不要で、テストで叩けなかった経路を見逃す。この向きを逆に書いた選択肢が定番である。ファジングは動的解析側、SCAはどちらとも別のカテゴリになる。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。