シフトレフト実現を左右する「静的アプリケーション診断ツール」、3つの誤解とは：シフトレフト実現に役立つ

Mendは静的アプリケーションセキュリティ診断ツール（SAST）に関するよくある3つの誤解を解説した。シフトレフトを実現しようとする開発者を邪魔しないツールが望ましいという結論だ。

[＠IT]

　アプリケーションセキュリティベンダーのMendは2022年7月14日（米国時間）、「SASTツールによるアプリケーションテストに関する3つの大きな神話」と題して、静的アプリケーションセキュリティ診断ツール（Static Application Security Testing：SAST）に関するよくある誤解を解説した。

　SASTはアプリケーションのソースコードを評価し、潜在的な脆弱（ぜいじゃく）性を検出するための主要な手法の一つだ。SASTは開発ライフサイクルの初期段階においてアプリケーションのセキュリティを強化し、セキュリティのシフトレフト実現において重要な役割を果たす。

　しかし、SASTツールの実装に関連する神話が数多く存在するという。Mendはそのうちの3つを紹介した。

神話1　全てのSASTツールが実行するテストはほぼ同じだ

　SASTツールがどれもほぼ同じテストを実行するというのはよくある誤解だ。主に2つの留意点がある。