SAST, SCA ve secret scanning

Kısaca: Bir projenin kodu için üç otomatik denetim: SAST kendi kodundaki güvenlik kusurlarını, SCA üçüncü taraf kütüphanelerdeki bilinen açıkları, secret scanning yanlışlıkla yayımlanmış parolaları ve anahtarları arar.

Biraz daha ayrıntılı:

• SAST (static application security testing) kaynak kodu okur ve süzülmemiş HTML, kullanıcı girdili komut çağrıları veya güvensiz dosya erişimi gibi tehlikeli örüntüleri bildirir.
• SCA (software composition analysis) bağımlılıkları (package.json, lock dosyası) bilinen açıkların (CVE) veritabanlarıyla karşılaştırır.
• Secret scanning depoda kimlik bilgilerini, API anahtarlarını ve .env dosyalarını bulur (bkz. .env dosyaları).

Bizim bağlamımız: Emzett deposunu Aikido ile taratır. Bir SCA bulgusu eski bir Next.js sürümündeki kritik bir açıktı, yama güncellemesiyle giderildi; SAST bulguları tek tek denetlenir (gerçek risk mi yanlış alarm mı). npm audit de yardımcı olur. Barındırma sağlayıcısı Vercel bu denetimlerin hiçbirini sağlamaz — platformu ve ağı korur, kodu değil.

Ayrıca bak: XSS, SQL enjeksiyonu, .env dosyaları, WAF