DAST SAST SCA IAST RASP: Leitfaden zu Tools

Tools zur Analyse der Anwendungssicherheit: SAST, DAST, SCA, IAST und RASP

Moderne DevSecOps-Pipelines erfordern eine umfassende Schwachstellenanalyse. SAST scannt Quellcode statisch, DAST testet laufende Anwendungen dynamisch, SCA prüft Abhängigkeiten, IAST kombiniert statische und dynamische Analyse zur Laufzeit, und RASP bietet Schutz während der Ausführung. Diese Tools integrieren sich in CI/CD für eine frühe Bedrohungserkennung.

SAST: Statische Code-Analyse

SAST-Tools analysieren Quellcode ohne Ausführung und erkennen SQL-Injectionen, XSS und unsichere APIs. Sie weisen auf genaue Codezeilen für Korrekturen hin und beschleunigen die Entwicklung.

Vorteile: frühe Erkennung, Integration in IDEs und CI/CD.

Nachteile: falsch-positive Ergebnisse, ignoriert Laufzeitfehler und Konfigurationen.

Cloud-Optionen:

• SonarCloud: kostenlos für öffentliche Repositories, bis zu 50k LoC in privaten. Unterstützt viele Sprachen, detaillierte Regeln.
• Semgrep Cloud: für Teams bis zu 10 Personen, unbegrenzt in GitHub.
• CodeQL: GitHub-Tool, erstellt eine Datenbank aus dem Code für Abfragen.

Lokale OSS:

• SonarQube Community: selbst gehostet, Docker-Installation, 15+ Sprachen.
• Semgrep OSS: CLI-Scanner mit AST-basierten Regeln.

DAST: Dynamische Tests

DAST simuliert Angriffe auf laufende Anwendungen von außen, ohne Codezugriff. Es erkennt Authentifizierungs-, Sitzungs- und Konfigurationsprobleme.

Vorteile: echte Laufzeitschwachstellen, unabhängig vom Tech-Stack.

Nachteile: späte SDLC-Phase, erfordert Testumgebung, keine Zeilenangaben.

Cloud:

• HostedScan: 3-10 Scans/Monat, OWASP Top 10, Nmap, OpenVAS.

Lokal:

• OWASP ZAP: API für CI/CD, Docker-Unterstützung.
• Nuclei: YAML-Vorlagen für CVE, hohe Geschwindigkeit.

SCA: Abhängigkeitsanalyse

SCA scannt Open-Source-Bibliotheken auf CVEs, Lizenzen und veraltete Versionen. Kritisch für Software-Zulieferketten.

Vorteile: schneller Audit bekannter Schwachstellen, PR-Automatisierung.

Nachteile: nur bekannte CVEs, Störungen durch transitive Abhängigkeiten.

Cloud:

• Snyk: Behebungsempfehlungen, unbegrenzt OSS.
• GitHub Dependabot: Auto-PR für Updates.

Lokal:

• Trivy: Container, K8s, IaC.
• OSV-Scanner: Google OSV.dev-Datenbank.

| Tool | Vorteile | Nachteile |

|----------|---------------------------|------------------------------|

| SAST | Frühe Behebungen, genaue Zeilen | Falsch-positive, keine Laufzeit |

| DAST | Echte Angriffe, Konfigs | Späte Phase, Testumgebung nötig |

| SCA | CVE-Listen, Lizenzen | Nur bekannte |

| IAST/RASP| Genauigkeit, Blockierung | Performance-Overhead, Deployment |

IAST und RASP: Laufzeitanalyse und -schutz

IAST bettet Agenten ein, um Daten in Echtzeit zu verfolgen und falsch-positive Ergebnisse zu minimieren. RASP ergänzt durch Blockierung von Exploits.

Vorteile: Ausführungskontext, aktiver Schutz.

Nachteile: Performance-Overhead, wenige OSS-Optionen, komplexe Integration.

Wenige kostenlose Vollversionen – das ist eine kommerzielle Kategorie. Empfohlen: Kombination mit SAST/DAST.

Wichtige Punkte

• SAST + DAST + SCA decken 90 % der OWASP Top 10-Risiken ab.
• In CI/CD integrieren für Shift-Left-Sicherheit.
• OSS für selbst gehostete Datenkontrolle wählen.
• Falsch-positive berücksichtigen: Regeln anpassen.
• RASP für hochbelastete Produktion geeignet.

— Editorial Team