SASTvsSupply Chain Attack

SAST

SAST 通过分析源代码或字节码来发现安全漏洞，无需运行应用。它能在开发早期发现 SQL 注入、XSS 等常见漏洞，是 DevSecOps 流水线的第一道防线。

Supply Chain Attack

供应链攻击不直接攻击目标，而是通过污染目标依赖的开源库、构建工具或更新渠道间接植入恶意代码。SolarWinds 和 xz-utils 事件是典型案例。

SAST

• 分析源代码发现安全漏洞
• 无需运行应用，开发阶段即可检测
• CI/CD 流水线的第一道安全防线

Supply Chain Attack

• 攻击开源依赖和构建工具
• 间接影响数千甚至数百万用户
• SolarWinds 和 xz-utils 是标志性事件

SAST

通过分析源代码在不运行应用的情况下发现安全漏洞的测试方法

Supply Chain Attack

通过攻击软件供应链间接入侵目标系统的攻击方式

SAST

• CI/CD 中的自动化代码安全扫描
• OWASP Top 10 漏洞的早期检测
• 合规要求的安全测试

Supply Chain Attack

• 开源依赖的安全审计
• CI/CD 流水线的安全加固
• 软件物料清单（SBOM）管理

SAST

SAST 工具通过数据流分析和模式匹配扫描源代码中的安全问题。优势是覆盖率高、发现早；劣势是误报率高、无法检测运行时问题。常见 SAST 工具：Semgrep、SonarQube、CodeQL、Checkmarx。SAST 通常与 DAST（动态测试）配合使用，形成完整的应用安全测试体系。

Supply Chain Attack

供应链攻击利用了现代软件对开源依赖的高度信任。攻击向量包括：恶意 npm/PyPI 包（typosquatting）、开源维护者账号劫持、CI/CD 流水线投毒、软件更新渠道劫持。2020 年 SolarWinds 事件影响了 18000 个组织，2024 年 xz-utils 后门差点影响所有 Linux 发行版。防御需要 SCA 扫描、SBOM 和依赖锁定。