# DAST vs SAST

> SAST (Static Application Security Testing) a forráskódot olvassa, futtatás nélkül: data-flow analízissel keres SQL injection, XSS, hardcoded secret, gyenge crypto, deserialization mintákat.

CI-ben gyors, korai. Gyengéje: nem lát autentikáció mögé, és sok false positive jön belőle (Semgrep, SonarQube). DAST (Dynamic Application Security Testing) a futó alkalmazást támadja kívülről, mintha egy pentester lenne: bejelentkezik, beküld payloadot, megnézi a választ. SQL error visszacsorgott? Reflected XSS? Open redirect? Ezek SAST-tal nem mindig jönnek elő (OWASP ZAP, Burp). Tipikus false positive minták: SAST jelez SQL injection-t parameterized query-re ahol a query builder string concat-nek néz; DAST 401-et 500-nak címkéz mert a status kód-fejléc nem stimmel; SAST hardcoded secret-nek hiszi a tesztfixture-t. Komoly stack-ben mindkettő kell, plus IAST plus SCA (dependency scan), plus a CI gate csak a magas konfidenciájú találatokra essen.

---

Source: https://dfieldsolutions.hu/hu/fogalomtar/dast-vs-sast
DField Solutions — Torony köz 5-1.a, 2120 Dunakeszi, Hungary — +36 20 722 0002 — dezso@dfieldsolutions.com
Booking: see https://dfieldsolutions.hu/en/contact