SAST・DAST（静的／動的セキュリティテスト）とは？さすと・だすと（せいてき・どうてきせきゅりてぃてすと）
SAST・DAST（静的／動的セキュリティテスト）とは、脆弱性を見つけるテストを、対象を動かさずに読むか、動かして突くかで分けた呼び名。SASTはソースコードやバイナリを解析して危険な書き方を指摘し、DASTは稼働中のアプリケーションへ入力を送り、返ってきた応答から欠陥を判定する。読む側は工程の早い段階で広く当たれ、突く側は配置してからでないと現れない設定の不備まで届く。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
欠陥は見つかる工程が後ろになるほど直す費用が上がるので、動かす前に読んで見つけられるものは読んで見つけたい。一方で、証明書の設定やCookieの属性、負荷分散装置の前で付いたり落ちたりするヘッダのように、実際に動かして応答を見ないと分からない欠陥もある。二つの手法は競合ではなく、見える層が違うから両方要るという関係にある。
具体例
静的解析をCIに組み込み、コミットのたびにSQL文の文字列連結を検出して開発中に潰す。動的解析を結合テスト期間に週次で回すと、コードは正しいのに負荷分散装置での終端によってCookieのsecure属性が落ちている、といった構成側の欠陥が出てくる。ネットワーク側でBatfishによる設定の静的検査と実機の疎通試験を併用するのと同じ形である。
試験での引っ掛け
静的解析の指摘件数をそのまま欠陥数として報告すると、誤検知を含んだ数字で判断させることになる。動的解析は画面遷移をたどれた範囲しか見ないので、認証の奥や管理機能が丸ごと未検査で残る。どちらか一方で足りると考えるのが最も危なく、工程を分けて併用するのが定石である。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。