コードレベルのセキュリティ問題を早期に検出するために、継続的インテグレーション (CI) パイプラインに統合するのに最も適切なセキュリティツールは、次のうちどれですか？

静的コード解析 (Static Application Security Testing - SAST) は、コードが実行される前にソースコード、バイトコード、またはバイナリを分析し、セキュリティ脆弱性やコーディングエラーを特定します。CIパイプラインに早期に統合することで、開発ライフサイクルの初期段階で問題を検出し、修正コストを削減できます。 ペネトレーションテストは、システムがデプロイされた後に手動または自動で脆弱性を悪用しようとするもので、CIパイプラインの早期段階には適しません。脅威モデリングは、設計段階で潜在的な脅威を特定するプロセスであり、コードレベルの検出ツールではありません。動的コード解析 (Dynamic Application Security Testing - DAST) は、実行中のアプリケーションをテストするため、CIパイプラインの後半またはステージング環境に適しています。