CI-ben gyors, korai. Gyengéje: nem lát autentikáció mögé, és sok false positive jön belőle (Semgrep, SonarQube). DAST (Dynamic Application Security Testing) a futó alkalmazást támadja kívülről, mintha egy pentester lenne: bejelentkezik, beküld payloadot, megnézi a választ. SQL error visszacsorgott? Reflected XSS? Open redirect? Ezek SAST-tal nem mindig jönnek elő (OWASP ZAP, Burp). Tipikus false positive minták: SAST jelez SQL injection-t parameterized query-re ahol a query builder string concat-nek néz; DAST 401-et 500-nak címkéz mert a status kód-fejléc nem stimmel; SAST hardcoded secret-nek hiszi a tesztfixture-t. Komoly stack-ben mindkettő kell, plus IAST plus SCA (dependency scan), plus a CI gate csak a magas konfidenciájú találatokra essen.
Ide tartozó munkapad
KiberbiztonságPurple Team: ugyanaz az ember írja az exploitot és zárja be a rést. A legtöbb ügynökség csak véd, vagyis olyan fenyegetés ellen, amit senki nem tesztelt.
