ストーリー

SASTの仕組み

解析手法の種類

汚染解析の概念

汚染解析（Taint Analysis）の基本:

Source（汚染源）: ユーザーからの入力
  ├── req.body
  ├── req.params
  ├── req.query
  ├── req.headers
  └── 環境変数（場合による）

Sink（危険な操作）: 汚染データが到達すると危険な箇所
  ├── SQL クエリ実行 → SQLインジェクション
  ├── HTML レンダリング → XSS
  ├── OS コマンド実行 → コマンドインジェクション
  ├── ファイルパス操作 → パストラバーサル
  └── ログ出力 → ログインジェクション

Sanitizer（無害化）: 汚染を除去する処理
  ├── パラメータ化クエリ
  ├── HTML エスケープ
  ├── 入力バリデーション
  └── 型変換

判定ロジック:
  Source → (Sanitizerなし) → Sink = 脆弱性あり
  Source → Sanitizer → Sink = 安全

主要なSASTツール

ツール比較

Semgrepのルール例

# Semgrep ルール: SQLインジェクション検出
rules:
  - id: sql-injection-node
    patterns:
      - pattern: |
          $DB.query(`...${$USER_INPUT}...`)
      - pattern-not: |
          $DB.query(`...${parseInt($USER_INPUT)}...`)
    message: |
      ユーザー入力がSQLクエリに直接埋め込まれています。
      パラメータ化クエリを使用してください。
      要件参照: SEC-INPUT-001
    severity: ERROR
    languages: [typescript, javascript]
    metadata:
      category: security
      cwe: "CWE-89"
      owasp: "A03:2021"
      compliance:
        pci-dss: "6.5.1"
        soc2: "CC7.1"

# Semgrep ルール: ハードコードされたシークレット検出
rules:
  - id: hardcoded-secret
    patterns:
      - pattern: |
          $VAR = "..."
      - metavariable-regex:
          metavariable: $VAR
          regex: ".*(password|secret|api_key|token|credential).*"
      - metavariable-regex:
          metavariable: "$VALUE"
          regex: ".{8,}"
    message: |
      シークレットがハードコードされている可能性があります。
      環境変数またはシークレット管理サービスを使用してください。
      要件参照: SEC-DATA-004
    severity: ERROR
    languages: [typescript, javascript, python]

SASTの導入パターン

段階的導入戦略

「最初からすべてをブロックすると開発が止まる。段階的に導入し、開発者がSASTに慣れる時間を作ることが成功の鍵だ」 — 田中VPoE

誤検知（False Positive）への対処

# .semgrepignore の例
# テストファイルは除外
tests/
__tests__/
*.test.ts
*.spec.ts

# 自動生成コードは除外
generated/
node_modules/

SASTのメトリクス

まとめ

チェックリスト

• SASTの解析手法（パターンマッチング、汚染解析等）を説明できる
• 主要なSASTツールの特徴を比較できる
• SASTルールの記述方法を理解した
• 段階的導入戦略と誤検知対処法を理解した

次のステップへ

次は「DAST（動的解析）の基礎」を学びます。実行中のアプリケーションに対してセキュリティテストを行う手法を身につけましょう。

推定読了時間: 30分