ストーリー

3つのスキャン手法の比較

検出範囲のカバレッジ

         SAST         SCA          DAST
       ┌──────┐    ┌──────┐    ┌──────┐
       │自作  │    │OSS   │    │実行時│
       │コード │    │依存  │    │の挙動│
       │の脆弱│    │ライブ │    │   │
       │性    │    │ラリの │    │   │
       │      │    │脆弱性 │    │   │
       └──────┘    └──────┘    └──────┘

       3つを組み合わせることでカバレッジを最大化

SAST: 静的アプリケーションセキュリティテスト

組織標準ツールの選定

パイプラインへの統合

# GitHub Actions: SAST統合
security-sast:
  runs-on: ubuntu-latest
  steps:
    - uses: actions/checkout@v4

    - name: Run Semgrep
      uses: semgrep/semgrep-action@v1
      with:
        config: "p/owasp-top-ten"
        generateSarif: true

    - name: Upload SARIF
      uses: github/codeql-action/upload-sarif@v3
      with:
        sarif_file: semgrep.sarif

偽陽性の管理

SASTの最大の課題は偽陽性です。組織レベルでの管理戦略が必要です。

SCA: ソフトウェアコンポジション分析

組織標準ツールの選定

脆弱性の優先順位付け

すべてのCVEに即座に対応するのは現実的ではありません。優先順位をつけます。

DAST: 動的アプリケーションセキュリティテスト

実行タイミングと戦略

DASTはアプリケーションを実際に実行してテストするため、実行環境が必要です。

# GitHub Actions: DAST統合（ステージングデプロイ後）
security-dast:
  needs: deploy-staging
  runs-on: ubuntu-latest
  steps:
    - name: OWASP ZAP Scan
      uses: zaproxy/action-full-scan@v0.11.0
      with:
        target: "https://staging.example.com"
        rules_file_name: "zap-rules.tsv"

統合戦略：パイプラインへの配置

3つのスキャンをパイプラインのどこに配置するかを定義します。

PR作成時:
  ├── SAST（Semgrep / CodeQL）     ← 必須、ブロック
  ├── SCA（Snyk / Dependabot）     ← 必須、Critical/Highはブロック
  └── シークレットスキャン           ← 必須、ブロック

ビルド後:
  └── コンテナイメージスキャン（Trivy） ← 必須、Critical はブロック

ステージングデプロイ後:
  └── DAST（OWASP ZAP）            ← 必須、Highはブロック

本番:
  └── ランタイムモニタリング         ← 継続的

まとめ

チェックリスト

• SAST、DAST、SCAの違いと使い分けを理解した
• 偽陽性管理の重要性を理解した
• CVSS重要度に基づく優先順位付けを理解した
• パイプラインへの配置戦略を理解した

次のステップへ

次は「コンプライアンスゲートの設計」です。セキュリティスキャンの結果を、組織のコンプライアンス要件に沿ってゲートとして機能させる方法を学びましょう。

推定読了時間: 30分