Quale tipo di strumento di sicurezza è più appropriato integrare nella pipeline di Continuous Integration (CI) per rilevare tempestivamente i problemi di sicurezza a livello di codice?

L'analisi statica del codice (Static Code Analysis) è la più appropriata per la pipeline CI perché esamina il codice sorgente, bytecode o binario senza eseguirlo, identificando vulnerabilità e difetti di sicurezza nelle prime fasi dello sviluppo (shift-left security). Questo permette di correggere i problemi prima che si propaghino. Il penetration testing (test di penetrazione) è un'attività manuale o semi-automatica che simula attacchi esterni, ed è più adatta per fasi successive o ambienti di produzione. Il threat modeling (modellazione delle minacce) è un processo di progettazione per identificare potenziali minacce e mitigazioni, non uno strumento di rilevamento automatico nella CI. L'analisi dinamica del codice (Dynamic Code Analysis) esegue il codice per trovare vulnerabilità in fase di runtime, ed è più adatta per le pipeline di Continuous Delivery (CD) o test di integrazione, non per il rilevamento precoce a livello di codice nella CI.