SAST
Caixa Branca
• O teste tem acesso as
camadas de estrutura, design
e codificação.
• A aplicação é testada de
dentro para fora.
• Esse tipo de teste representa
a abordagem do
desenvolvedor.
Requer o Código Fonte
• SAST não reque a aplicação
em execução.
• Analisa do código fonte ou do
binário sem executar a
aplicação.
Vulnerabilidades antes do SDLC
• O Scan pode executar assim
que o código estive finalizado.
Baixo custo de correção
• Conforme as vulnerabilidades
são encontradas podem ser
corrigidas antes do SDLC.
• As vulnerabilidade são
descobertas antes de entrar
em homologação.
Não descobre erros em ambiente
• Como as ferramentas
analisam o código fonte não
podem descobrir
vulnerabilidades em tempo de
execução.
Suporta várias Tecnologias
• Suportam tecnologia de
desenvolvimento para Web,
Mobile, Web Service e etc.
DAST
Caixa Preta
• O teste tem acesso as
camadas de estrutura, design
e codificação.
• A aplicação é testada de
dentro para fora.
• Esse tipo de teste representa
a abordagem do
desenvolvedor.
Requer Aplicação em Execução
• DAST não requer código fonte
ou binário.
• Analisa a aplicação em tempo
de execução.
Vulnerabilidade ao final do SDLC
• DAST não requer código fonte
ou binário.
• Analisa a aplicação em tempo
de execução.
Alto custo de correção
• As vulnerabilidades
encontradas no fim do SDLC
geralmente são corrigidas
para o próximo release.
• Vulnerabilidades críticas
provocam releases
emergenciais.
Descobre erros em ambiente
• Como a ferramenta de análise
dinâmica analisam a aplicação
que estão em ambiente de
execução, descobrem
vulnerabilidades do ambiente.
Suporta Tecnologia WEB e Mobile
• DAST não são utilizados para
outros tipos de aplicações
que não sejam WEB ou
Mobile.