SAST・DAST（静的／動的セキュリティテスト）とは？さすと・だすと（せいてき・どうてきせきゅりてぃてすと）
SAST・DAST（静的／動的セキュリティテスト）とは、実行せずにソースコードやバイナリを解析し、危険な記述を指摘するのがSAST。動作中のアプリケーションへ実際に入力を送り、返ってきた応答から脆弱性を判定するのがDAST。前者は工程の早い段階で広く網を掛けられ、後者は稼働環境の設定の不備まで届く。
最終更新：2026-10-06
プロジェクトマネージャを最短で暗記・合格する →背景
セキュリティの確認を結合テストの終盤へ一度だけ置くと、見つかった欠陥が設計に起因していても直す時間が残っていない。実行せずに済む検査を前倒しし、実環境でしか出ない不備は動かせるようになってから見る、という工程の分担が要る。検査の時期と回数を計画で決める話として問われる。
具体例
静的解析をCIへ組み込み、コミットのたびに文字列連結によるSQLの組み立てを検出しておき、結合テストの期間には動的解析を週次で回す。炎上して検査を後ろへ寄せると、指摘が出た時点で直す余地が無く、リスクを受容するかの判断をスポンサへ上げる羽目になる。
試験での引っ掛け
指摘の件数を欠陥数として扱わないこと。静的解析は誤検知を多く含むので、そのまま報告すると現場が数字に振り回される。動的解析のほうは、たどれた画面遷移の範囲しか見ておらず、触れられなかった機能はそもそも検査されていない。一方だけで足りると考えるのが最も危うい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。