Welche Art von Sicherheitstool eignet sich am besten für die Integration in die Continuous Integration (CI)-Pipeline, um Sicherheitsprobleme auf Code-Ebene frühzeitig zu erkennen?

Statische Code-Analyse (Static Application Security Testing - SAST) ist am besten für die Integration in die CI-Pipeline geeignet, da sie den Quellcode, Bytecode oder Binärcode einer Anwendung analysiert, ohne ihn auszuführen. Dies ermöglicht die frühzeitige Erkennung von Sicherheitsschwachstellen und Codierungsfehlern direkt während des Entwicklungsprozesses, bevor der Code überhaupt bereitgestellt wird. Penetration Testing (Pen-Testing) ist ein manueller oder halbautomatischer Prozess, der typischerweise später im Lebenszyklus der Softwareentwicklung durchgeführt wird, um Schwachstellen in einer laufenden Anwendung zu finden. Bedrohungsmodellierung ist eine Design-Phase-Aktivität, die darauf abzielt, potenzielle Bedrohungen und Gegenmaßnahmen zu identifizieren, bevor Code geschrieben wird. Dynamische Code-Analyse (Dynamic Application Security Testing - DAST) testet eine laufende Anwendung und ist daher besser für spätere Phasen der Pipeline geeignet, wie z.B. Staging oder Produktion.