- Um foco na profundidade em vez da amplitude: Ele usa regras direcionadas e de alta confiança para identificar vulnerabilidades.
- É gerenciado por equipes de desenvolvimento: A equipe de desenvolvimento aborda os problemas como parte de seu fluxo de trabalho regular.
- Previne novas vulnerabilidades: Ele impede que classes específicas de vulnerabilidades entrem na base de código durante o desenvolvimento.
- Requer ferramentas SAST de segunda geração: Para ser eficaz, a ferramenta precisa ser rápida e direcionada para que possa operar em cada commit e em cada pull request rapidamente e de uma forma que limite a atenção que um desenvolvedor precisa dar a ela.
Independentemente de você escolher um SAST moderno ou tradicional, há outra consideração: agrupar ou não agrupar. Os fornecedores de SAST geralmente agrupam outras ferramentas de teste de segurança de aplicativos (AST), incluindo análise de composição de software (SCA), verificação de contêiner e detecção de segredos. Para os fornecedores, isso faz sentido – por que vender uma coisa se eles podem vender duas, três ou mais. Mas isso faz sentido para você?
Na maioria dos casos, o agrupamento também é bom para os consumidores. Mas vamos além do óbvio (pode sair mais barato). Agrupar o SAST com outros ASTs pode ser extremamente benéfico para a produtividade — supondo que você tenha objetivos semelhantes para todas as suas ferramentas (por exemplo, produtividade do desenvolvedor) — porque pode criar um programa AppSec mais integrado e simplificado. Para descobrir se o pacote economizará seu tempo, comece com os requisitos técnicos de cada ferramenta. Depois de restringir sua lista, procure ferramentas que forneçam uma interface unida para a equipe AppSec que consolide ou desduplica as descobertas. Isso não apenas tornará sua equipe mais eficiente, mas também poderá ajudá-lo a evitar o investimento em ferramentas como o gerenciamento de postura de segurança de aplicativos (ASPM), projetadas para consolidar alertas quando suas ferramentas não funcionam bem juntas. Por fim, descubra quanto esforço é necessário para adicionar cada AST. As equipes AppSec geralmente não têm acesso robusto ao CI, portanto, a maioria das organizações desejará uma experiência de instalação fácil, onde não seja necessário instalar cada ferramenta separadamente. Idealmente, isso deve ser o mais ininterrupto possível para a AppSec e para as equipes de desenvolvimento.
O empacotamento pode não ser adequado para você se seus requisitos técnicos não puderem ser atendidos adequadamente por um único fornecedor. Por exemplo, você pode precisar de uma ferramenta SAST tradicional, mas não consegue lidar com um SCA barulhento. É tentador optar por um pacote mais barato, mas isso pode levar a prateleiras, então tome cuidado.
