脆弱性検査技術（SAST、DAST、IAST、ファジングほか）

脆弱性検査技術は、ソースコード、動いているアプリケーション、使っている部品などを調べて、セキュリティの欠陥を見つける技術です。

■ 試験で押さえるポイント

• SASTはプログラムを実行せずにソースコードを解析し、DASTは動いているシステムを外から検査します。

• IASTは、実行中のアプリケーションの内部の情報も使って検査します。

• ファジングは、異常なデータを大量に入力して、異常終了などの不具合を探します。

■ 過去問での着眼点

実行するかどうか、どこから観察するかで、SAST、DAST、IASTを区別します。

例: 通信の処理に、長さや形式を少しずつ変えたデータを大量に送り、異常終了する入力を探すのがファジングです。

■ 検査できる範囲と工程への組込み

• SASTはコードの流れ、DASTは到達した実行経路、IASTは実際に動いた処理と内部情報を調べる。どの方式でも、未実行の業務条件や設計上の認可を自動で完全に検証できるわけではない。

• SCAは利用する部品と既知の脆弱性等を確認する。SBOMは構成情報であり、検査結果や安全証明そのものではない。ファジングで異常が出なくても、入力の生成範囲と実行時間には限界がある。

• 脅威モデリングで信頼境界・攻撃者の権限・重要資産を整理し、工程ごとに必要な検査を選ぶ。発見した経路を修正した後、同じ条件で再現しないことと正規機能への影響を確認する。