従来、アプリケーションの脆弱性検査の手法には大きく分けて２種類ありました。一つはアプリケーションを動作させることなく、ソースコードを解析することで脆弱性検査を行うSAST（静的解析アプリケーションセキュリティテスト）であり、もう一つは実際にアプリケーションを動作させて、危険なデータを入力することで脆弱性検査を行うDAST（動的解析アプリケーションセキュリティテスト）です。

SASTはDASTよりもすばやく、手軽に検査をできる半面、誤検出が出やすい傾向があります。逆にDASTは実際にアプリケーションを動作させて検査するため、誤検出は少ないですが、ソースコードを検査しているわけではないため、検査結果から問題箇所を特定するのに時間がかかる傾向があります。

今回紹介するIAST（インタラクティブアプリケーションセキュリティテスト）ツールである「Checkmarx CxIAST」は、実際に動作しているアプリケーションに対してデータフロー解析を行いますので、誤検出が少なく、検出結果からソースコード内の問題箇所を特定する時間も短縮できるというメリットがあります。SASTとDASTの不得意な部分を解消しながら、SASTとDASTの利点も利用できます。本セミナーでは「Checkmarx 　CxIAST」の動作を見ながら、その機能を紹介します。