En el universo de DevOps se hablan de herramientas de tipo SAST y SCA, lo cierto es que son dos tipos de tecnologías diferentes y no se pueden comparar. A continuación, te compartimos definiciones y diferenciales:
Pruebas estáticas de seguridad de aplicaciones (SAST) SAST (Static Application Security Testing) es una herramienta de pruebas de seguridad. Su caso de uso principal es informar de los problemas de seguridad y calidad en el código fuente estático.
Análisis de composición del software (SCA) SCA (Software Composition Analysis) identifica componentes de código abierto y el riesgo de (vulnerabilidades, arquitectura, licencias, etc).
El SCA es compatible con entornos de desarrollo más modernos, en los que los desarrolladores adquieren el software a partir de una cadena de suministro ascendente. Su principal caso de uso es Compliance y el desarrollo de flujos de trabajo de gestión de las dependencias.
Diferencias entre SAST Y SCA
- Las herramientas SAST requieren acceso a los archivos fuente, y en algunos casos las organizaciones ya no tienen acceso al código fuente y si lo tienen, no se puede compilar porque le faltan bibliotecas clave. Por lo anterior, no se puede parchear un problema si no está representado en el código.
- El 85% de las aplicaciones modernas están compuestas de código abierto, lo que indica que utilizando herramientas SAST, están dejando la mayor parte de la aplicación sin analizar.
- Las herramientas SCA escanean archivos y binarios, lo que proporciona una mayor cobertura para una aplicación.
Permite a los desarrolladores seleccionar una mejor versión de código abierto que cumpla con la política y que además esté diseñada para funcionar en un entorno DevSecOps. - Las herramientas SAST encuentran vulnerabilidades en las primeras etapas del ciclo de desarrollo, mientras que las herramientas SCA proporcionan un monitoreo continuo de las vulnerabilidades en cada etapa del SDLC (Systems Development Life Cycle).
- Para obtener una cobertura completa del SDLC las herramientas SAST deben agruparse con otras como DAST e IAST para crear una solución integral. En esencia, SCA es una solución integral que proporciona una cobertura continua de código abierto para todo el SDLC.
- Si el código está mal configurado, el escaneo de la herramienta SAST dará lugar a un gran número de falsos positivos. Las herramientas SCA son conocidas por trabajar rápidamente, por lo que son adecuadas para liberar una baja tasa de falsos positivos.
- Comparar SCA con SAST es como construir una casa: SCA es análogo a la presentación de planos para un permiso de construcción, mientras que SAST es como hacer una inspección de la casa una vez construida.
¿Qué es lo mejor para mi organización?
SAST y SCA son realmente dos tipos de tecnologías diferentes y no se pueden comparar entre sí. Lo que hemos descubierto trabajando con clientes, es que suelen empezar con SCA porque la mayor parte de su trabajo es con código abierto, y ya han creado algún tipo de política de código abierto, ya sea aprobaciones manuales o un enfoque antes de empezar su viaje de DevSecOps.
SCA resulta ideal para aquellos que se centran en tomar decisiones holísticas sobre las bibliotecas de terceros que componen sus aplicaciones, y no en cuestiones individuales como muchas herramientas S/D/I-AST. SCA acelera el tiempo de innovación, ya que automatiza los procesos manuales de gobernanza del código abierto que son propensos a cometer errores (es decir, la aplicación de políticas) añade contexto y conciencia en torno a la seguridad de las aplicaciones.
El resultado final: No hay una respuesta única para todos, pero la mejor práctica es elegir la mejor solución SCA o SAST. Una que proporcione cobertura de extremo a extremo, tanto si trabaja con código fuente o con código abierto.
Sonatype se centra en automatizar la gobernanza del código abierto en cada etapa del SDLC con precisión para eliminar los falsos positivos.
Fuente: Blog Sonatype.
