SAST/DAST/SCA（エスエーエスティーディーエーエスティー）
脆弱性検査ツール種別。SAST(Static・Semgrep・SonarQube・Snyk Code・CodeQL・GitHub Advanced Security)・DAST(Dynamic・OWASP ZAP・Burp Suite Pro・Nuclei)・SCA(Dependency・Snyk・Dependabot・Renovate・Socket.dev・Mend・Trivy)・Container Image(Wiz・Prisma Cloud)、2026年CI/CD自動統合標準化。
概要
SAST（Static Application Security Testing）、DAST（Dynamic Application Security Testing）、SCA（Software Composition Analysis）は、ソフトウェア開発ライフサイクルにおける脆弱性検査を行う代表的な手法である。SASTはソースコードを静的に解析し、構文エラーやセキュリティパターンを検出する。DASTは実行中のアプリケーションに対して攻撃シナリオを投げ、動的な脆弱性を発見する。SCAは依存関係に含まれるライブラリやコンポーネントの脆弱性を追跡し、リスクを可視化する。2026年に向けてCI/CDパイプラインに自動統合が標準化され、開発者はコードを書きながらリアルタイムで脆弱性を確認できるようになった。
主な特徴・仕組み
-
SAST
- 解析対象は
.c,.cpp,.java,.pyなどのソースファイル。 - ルールベースと機械学習を組み合わせ、SQLインジェクション、XSS、バッファオーバーフローを検出。
- 例：Semgrep 2026.1、SonarQube 10.0、GitHub Advanced Security 2026.3。
- 解析対象は
-
DAST
- アプリケーションを起動し、HTTPリクエストを送信してレスポンスを検査。
- OWASP ZAP 2.10、Burp Suite Pro 2025.2、Nuclei 2026.0 などが代表的。
- 侵入テストの自動化により、入力検証ミスや認証バイパスを検出。
-
SCA
package.json,pom.xml,requirements.txtなどの依存ファイルを解析。- CVEデータベースと照合し、脆弱性の有無とCVSSスコアを提示。
- Snyk 2026, Dependabot 2025, Renovate 2025, Trivy 2026, Wiz 2026, Prisma Cloud 2026 などが存在。
スペック/製品比較表
| カテゴリ | 代表ツール | バージョン | 主な機能 | 価格帯 | 主要プラットフォーム |
|---|---|---|---|---|---|
| SAST | Semgrep | 2026.1 | ルールベース + AI | 無料/有料 | Windows, Linux, macOS |
| SAST | SonarQube | 10.0 | コード品質 + セキュリティ | 1,200USD/年 | Windows, Linux, macOS |
| DAST | OWASP ZAP | 2.10 | スキャニング + ペネトレーション | 無料 | Windows, Linux, macOS |
| DAST | Burp Suite Pro | 2025.2 | アドバンスドテスト | 1,200USD/年 | Windows, Linux, macOS |
| SCA | Snyk | 2026 | 依存関係脆弱性 | 500USD/年 | Windows, Linux, macOS |
| SCA | Dependabot | 2025 | 自動PR生成 | 無料 | GitHub |
| SCA | Trivy | 2026 | コンテナイメージスキャン | 無料 | Windows, Linux, macOS |
| SCA | Wiz | 2026 | クラウドセキュリティ | 1,000USD/年 | AWS, Azure, GCP |
具体例・対応製品
-
SAST
Semgrep 2026.1は 5.7GHz のプロセッサ上で 32GB RAM を使用し、1,000行のコードを 30秒で解析。SonarQube 10.0は 64GB RAM、256GB SSD のサーバーで 10,000行を 2分でスキャン。GitHub Advanced Security 2026.3は GitHub Actions との統合で 500W の電力を消費し、リアルタイムで検出。
-
DAST
OWASP ZAP 2.10は 2.5GHz の CPU、8GB RAM で 1,000リクエストを 1分で実行。Burp Suite Pro 2025.2は 4.0GHz、16GB RAM で 5,000リクエストを 3分で完了。Nuclei 2026.0は 1.8GHz、4GB RAM で 500テンプレートを 10秒で実行。
-
SCA
Snyk 2026は 2.0GHz、8GB RAM で 10,000依存関係を 30秒で解析。Dependabot 2025は GitHub 上で 1,200USD/年、PR を自動生成。Renovate 2025は 1.5GHz、4GB RAM で 5,000依存関係を 20秒で更新。Trivy 2026は 1.2GHz、2GB RAM で 1,000イメージを 15秒でスキャン。Wiz 2026は 3.0GHz、32GB RAM で 10TB のクラウドリソースを 5分で評価。Prisma Cloud 2026は 2.8GHz、16GB RAM で 5,000コンテナを 2分で検査。
自作PCでの選び方・注意点
- 解析速度を重視するなら 5.7GHz のマルチコアCPUと 32GB RAM を搭載。
- 大規模プロジェクトは 256GB SSD で高速な読み書きを確保。
- 低消費電力を求める場合は 80+ Gold 500W PSU を選択。
- 解析結果を可視化するために 24GB GDDR7 のグラフィックカードを追加。
- ネットワーク帯域が 1Gbps 以上であることを確認。
- 解析時のログは 1TB の HDD に保存し、バックアップを定期実行。
- 解析ツールは 2025年にリリースされた最新版を使用。
- CI/CD パイプラインに組み込む場合は 2026年の標準化に対応したジョブを設定。
- 解析結果を共有するために 4K 画面で 27インチモニターを使用。
- 解析中に発生する熱を抑えるために 120W の冷却ファンを追加。
関連用語との違い
- Vulnerability Scanning は主に既知の脆弱性を検索するだけで、コードのロジックエラーは検出できない。
- Penetration Testing は人手で行う侵入テストで、SAST/DAST の自動化と組み合わせると効果的。
- Static Analysis は一般的に品質チェックを目的とするが、SAST はセキュリティに特化。
- Dynamic Analysis は実行時の挙動を観察するが、DAST は攻撃シナリオを投げる点で差異。
- Dependency Management は SCA の前段階で、依存関係の解決を行う。
よくある質問
Q1. SAST と DAST の違いは何ですか？
A1. SAST はソースコードを静的に解析し、構文エラーやロジックミスを検出。DAST は実行中のアプリに対して攻撃を行い、動的脆弱性を発見します。
Q2. SCA で検出できる脆弱性はどのくらい網羅されていますか？
A2. SCA は CVE データベースと連携し、最新の脆弱性情報をリアルタイムで反映。約 95% の既知脆弱性をカバーします。
Q3. どのツールを選べばよいですか？
A3. プロジェクトの規模と開発環境に応じて選択。小規模なら無料の Semgrep、OWASP ZAP、Trivy が有効。大規模なら SonarQube、Burp Suite Pro、Wiz の組み合わせが推奨されます。
まとめ
SAST、DAST、SCA はそれぞれ異なる観点からソフトウェアの安全性を検証する手法である。2026年のCI/CD自動統合標準化により、開発フローに組み込むことが容易になり、脆弱性を早期に発見・修正できる環境が整った。自作PCを構築する際は、CPU、RAM、ストレージ、電源といったハードウェアスペックを慎重に選定し、解析ツールの性能と互換性を確認することが成功の鍵となる。