SAST・DAST（静的／動的セキュリティテスト）とは？さすと・だすと（せいてき・どうてきせきゅりてぃてすと）
SASTはソースコードやバイナリを実行せずに解析し、危険な記述を指摘する手法。DASTは動作中のアプリケーションへ実際に入力を送り、応答から脆弱性を判定する手法。前者は早期に広く、後者は実環境の設定不備まで見つけられる。試験では両者の適用工程の違いが問われる。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →具体例
静的解析をCIに組み込み、コミットのたびにSQL文の文字列連結を検出して開発中に潰した。加えて結合テスト期間に動的解析を週次で実行したところ、コードは正しいのにセッションクッキーの属性設定が抜けている構成上の欠陥が見つかり、静的解析では拾えない層を補えた。
試験での引っ掛け
静的解析は誤検知が多く、指摘件数をそのまま欠陥数として報告すると混乱を招く。逆に動的解析は画面遷移をたどれた範囲しか見ないため、未網羅の機能が残る。どちらか一方で十分と考えるのが最も危険で、工程を分けて併用するのが定石。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。