SAST vs SCA

La différence en un coup d'œil

	SAST	SCA
Signification	Static application security testing (test statique de la sécurité des applications)	Software composition analysis (analyse de la composition logicielle)
Examine	Votre propre code source	Les composants open source et tiers
Détecte	Injections, traitement dangereux des entrées, schémas non sécurisés	Vulnérabilités connues, problèmes de licence, paquets obsolètes
S'appuie sur	Des règles ou des modèles de ce à quoi ressemble du mauvais code	Des bases d'avis de sécurité publiés
Un résultat apparaît quand	Votre code change	Une dépendance change, ou un nouvel avis de sécurité est publié
Bruit habituel	Faux positifs sur du code en réalité sûr	Vraies correspondances sans effet sur votre usage du paquet
Correction	Modifier votre code	Mettre à niveau ou remplacer le composant

Ce que fait le SAST

Un outil SAST lit le code source sans l'exécuter et suit le cheminement des données. Si une entrée utilisateur atteint une requête de base de données sans avoir été assainie, il signale le fichier et la ligne. Comme il travaille sur votre code, il peut trouver des failles que personne n'a jamais publiées. C'est aussi lui qui suscite les plaintes sur les faux positifs, car il raisonne sur ce que le code pourrait faire plutôt que sur ce qu'il fait.

Ce que fait le SCA

Un scan SCA identifie les composants d'un projet et les recherche dans les données de vulnérabilité et de licence. Il n'analyse pas votre logique. Il sait qu'une version comporte une faille publiée : ses résultats sont donc généralement factuels, mais il en dit moins sur l'importance de cette faille pour vous, à moins que l'outil n'ajoute l'analyse d'atteignabilité. Voir qu'est-ce que l'analyse de la composition logicielle pour une vue complète.

Pourquoi il vous faut les deux

Les deux types de défaillance sont indépendants. Une base de code sans aucun résultat SAST peut tout de même livrer une dépendance vulnérable, et un arbre de dépendances sain ne dit rien d'une injection SQL dans votre propre gestionnaire.

Le moment d'apparition diffère aussi. Un résultat SAST apparaît quand quelqu'un modifie le code : un contrôle sur pull request en détecte donc la plupart. Un résultat SCA peut apparaître sur une release livrée il y a des mois, le jour où un nouvel avis de sécurité est publié, sans aucun commit pour déclencher quoi que ce soit. Le SCA a donc besoin de quelque chose qui continue à vérifier ce qui a été livré.

Où se place le DAST

Le test dynamique de la sécurité des applications (DAST) attaque une application en cours d'exécution depuis l'extérieur, comme le ferait un véritable attaquant. Il détecte ce qui n'apparaît qu'à l'exécution, comme les problèmes d'authentification et de configuration, sans lire le code.

	SAST	SCA	DAST
Nécessite	Le code source	Des manifestes, des images ou un enregistrement de build	Une application en cours d'exécution
S'exécute	Sur les pull requests	Sur les pull requests, dans les builds et après la release	Sur un environnement de test
Point fort	Les failles de votre code	Les risques connus des dépendances	Les failles d'exécution et de configuration

Par quoi commencer ?

Pour la plupart des équipes, par le SCA. Il se met en place rapidement, il s'exécute en quelques secondes à quelques minutes, et il couvre la plus grande partie de ce que vous livrez, car une application moderne se compose surtout de dépendances. Ajoutez ensuite le SAST, sur les pull requests, et réglez-le sur les règles importantes pour votre stack. Ajoutez le DAST quand vous disposez d'un environnement de test stable sur lequel le lancer.

Faut-il acheter une plateforme ou plusieurs outils ?

Des plateformes telles que Snyk, Checkmarx et GitHub Advanced Security regroupent SAST et SCA, ce qui signifie un seul contrat et un seul workflow. Des outils distincts peuvent être plus solides dans chaque domaine. Ce qui compte davantage, ce sont les données d'entrée : les deux types de scanner travaillent à partir de ce qui est déclaré ou écrit, et aucun ne voit ce que le build a réellement récupéré.

Ce qu'aucun des deux ne couvre

SAST et SCA lisent tous deux des fichiers. Aucun n'observe le build : le code récupéré par un hook d'installation, les paquets restaurés depuis les caches CI et les outils de build eux-mêmes peuvent donc rester hors de vue. C'est précisément l'objet de la sécurité de la chaîne d'approvisionnement logicielle.

CRACI couvre cette partie et laisse l'analyse de code aux outils conçus pour cela. Il ne fait ni SAST ni détection de secrets, par choix, et de nombreux excellents outils SAST fonctionnent à ses côtés. C'est un runner GitHub Actions qui enregistre ce que chaque job récupère dans une SBOM et continue de vérifier les SBOM de ce qui a été livré par rapport aux nouvelles vulnérabilités. Consultez les meilleurs outils SCA et la place de CRACI à côté d'eux.

SAST vs SCA : questions fréquentes

Quelle est la différence entre SAST et SCA ?

Le SAST analyse le code écrit par votre équipe pour y trouver des failles telles que les injections. Le SCA analyse les composants open source et tiers dont vous dépendez pour y trouver des vulnérabilités connues et des problèmes de licence.

Le SCA remplace-t-il le SAST ?

Non. Ils examinent des codes différents. Le SCA ne trouvera pas de faille dans votre propre logique, et le SAST ne vous dira pas qu'une dépendance comporte une vulnérabilité publiée.

Quelle est la différence entre SAST, DAST et SCA ?

Le SAST lit votre code source. Le SCA vérifie vos dépendances. Le DAST teste une application en cours d'exécution depuis l'extérieur. Chacun trouve des problèmes que les deux autres ne voient pas.

Snyk est-il un outil SAST ou SCA ?

Les deux. Snyk a commencé par le scan de dépendances open source et propose aussi du SAST, ainsi que le scan de conteneurs et d'infrastructure as code.

SonarQube est-il un outil SAST ou SCA ?

SonarQube est surtout connu pour l'analyse statique de votre propre code, c'est-à-dire le SAST. Vérifiez ce qu'incluent par ailleurs les éditions actuelles.

Par quoi commencer, SAST ou SCA ?

Le SCA produit généralement des résultats plus vite, car il est simple à mettre en place et couvre la plus grande partie de ce que vous livrez. Le SAST demande plus de réglages pour limiter les faux positifs.