ソースコード診断ツール（SAST）⁠と⁠は⁠？社内で動かす型・クラウド型・AI診断型の違いと、対応言語・価格の選び方

ソースコード診断ツールとは

ソースコード診断ツールは、書いたコードを動かさずに読み、脆弱性を見つける道具です。静的解析ツール、SASTとも呼びます。完成前のコードでも調べられるので、公開してから直すより手戻りが減ります。

比較ページには、自社で開発して自社のブランドで出している製品を載せています。代理店の取り扱いは載せていません。

3つの種類

• 手元・社内で動かす型：解析を自社のPCやサーバー、CIの中で動かします。例はCoverity、OpenText Fortify SAST、JFrog Advanced Securityです
• クラウドで使う型：リポジトリやCIとつなぎ、結果をクラウドで見ます。例はBlack Duck Polaris、Datadog Code Security、Amazon Inspectorのコードセキュリティです
• AIが診断する型：AIエージェントがコードを読んで診断します。例はTakumi byGMOです

SASTとDASTの違い

• SASTは、ソースコードを動かさずに調べます。公開前に使います
• DASTは、動いているアプリを外から調べます。動かして初めてわかる穴を見ます
• Black Duck PolarisとTakumi byGMOは、両方を1つのサービスで扱います

対応言語

• Coverityは、22言語と200を超えるフレームワークを扱います
• Amazon Inspectorは、C#・Java・Python・Go・Rustなどを公式に並べています
• OpenText Fortify SASTは、ABAPやCOBOLのような基幹系の言語も対象です
• 使っている言語が入っているかは、導入の前に公式の一覧で確かめます

コードを外に出せないとき

• Coverityは、オンプレミスとプライベートクラウドで動きます
• JFrog Advanced Securityは、解析を手元のPCやCIサーバーで動かします。公式の説明では、外とつながない環境にも向きます

値段

• 値段を公式に出している製品は少なく、ほかは見積もりで確かめます
• Takumi byGMOは、基本料金が月70,000円（税抜）⁠か⁠ら⁠で⁠⁠⁠⁠す
• Amazon Inspectorは、公式の計算例で1回0.15ドルです