Resposta rápida
Cada ferramenta cobre uma camada diferente
SAST
Análise Estática
Lê seu código-fonte sem executá-lo. Encontra SQL injection, desserialização insegura, secrets hardcoded, uso de APIs inseguras.
Momento: IDE + pull request
DAST
Análise Dinâmica
Ataca sua aplicação rodando, como um hacker externo. Encontra XSS, falhas de auth, misconfig, IDOR, lógica quebrada.
Momento: Staging / pré-prod
SCA
Análise de Dependências
Mapeia as dependências open-source e cruza com CVE/NVD. Encontra libs vulneráveis, licenças incompatíveis, riscos transitivos.
Momento: Build + contínuo
Lado a lado
O que cada ferramenta realmente encontra (e deixa passar)
| Vulnerabilidade | SAST | DAST | SCA |
|---|---|---|---|
| SQL Injection | ✅ | ✅ | — |
| XSS | ⚠️ | ✅ | — |
| Broken Authentication | — | ✅ | — |
| IDOR / Broken Access Control | — | ✅ | — |
| Hardcoded secrets | ✅ | — | — |
| Log4Shell (CVE-2021-44228) | — | ⚠️ | ✅ |
| Dependência transitiva vulnerável | — | — | ✅ |
| Licença incompatível (GPL) | — | — | ✅ |
| Desserialização insegura | ✅ | ⚠️ | — |
| Falha de lógica de negócio | — | ⚠️ | — |
✅ detecta · ⚠️ detecção parcial · — ponto cego
Conclusão: nenhuma ferramenta sozinha cobre 100%. Usar só SAST deixa lógica exposta. Usar só DAST ignora secrets. Usar só SCA ignora seu próprio código. Precisa das três camadas.
Ferramentas recomendadas
