Uma investigação comparativa de ferramentas SAST para a avaliação da segurança de aplicações web

Abstract

A segurança das aplicações web tem se tornado uma prioridade crescente devido à complexidade e integração das aplicações modernas. As ferramentas de Teste Estático de Segurança de Aplicações, em inglês Static Application Security Testing(SAST), emergiram como recursos valiosos para automatizar a identificação de vulnerabilidades durante o desenvolvimento de software. Este trabalho visa realizar uma avaliação comparativa entre quatro ferramentas SAST, analisando sua eficácia na detecção de vulnerabilidades, taxa de falsos positivos, e alinhamento com as diretrizes do Open Worldwide Application Security Project (OWASP). Para isso, foram escolhidas as ferramentas SonarCloud, Coverity Scan, Semgrep e Horusec, que foram aplicadas em seis aplicações web. A coleta de dados incluiu a execução dessas ferramentas, seguida pela organização e análise das vulnerabilidades detectadas. A metodologia do estudo incluiu a preparação do ambiente, a execução das ferramentas e a análise dos dados coletados com base em critérios como a severidade das vulnerabilidades, a quantidade de falsos positivos e a conformidade com o OWASPTop 10. Os resultados indicaram variações significativas no desempenho das ferramentas, com algumas se destacando pela precisão na detecção e na sugestão de correções, enquanto outras apresentaram maior incidência de falsos positivos .A análise também revelou que o alinhamento com as diretrizes do OWASP Top10 variou entre as ferramentas, refletindo suas capacidades de classificar e filtrar vulnerabilidades de acordo com essa metodologia. Este estudo contribui para uma melhor compreensão das ferramentas SAST, oferecendo informações valiosas para desenvolvedores e profissionais de segurança na escolha da ferramenta mais adequada para a mitigação de riscos em ambientes de desenvolvimento web.