SAST vs DAST vs Pentest manual: quando usar cada um
Três abordagens, três momentos. Entenda o que cada técnica encontra, o que ela nunca vai achar, e como combiná-las sem desperdiçar orçamento.
"Já temos um scanner de segurança, precisamos mesmo de pentest?" É uma das perguntas mais comuns que ouvimos — e ela revela uma confusão cara: tratar SAST, DAST e pentest manual como se fossem substitutos. Não são. São camadas que enxergam coisas diferentes, e a ausência de qualquer uma deixa um ponto cego previsível.
Veja o que cada uma faz, o que nenhuma delas faz sozinha, e como combiná-las.
SAST: lê o código por dentro
SAST (Static Application Security Testing) analisa o código-fonte sem executá-lo. É a revisão de quem lê a planta da casa antes de construir.
Encontra bem:
- Padrões inseguros de código (SQL concatenado, uso de funções perigosas).
- Segredos hardcoded (chaves, senhas no repositório).
- Fluxo de dados de entrada não sanitizada até um sink perigoso.
Não encontra:
- Falhas que só existem em runtime (configuração de servidor, sessão).
- Lógica de negócio (autorização contextual, fluxos de pagamento).
- Vulnerabilidades em dependências que só se manifestam integradas.
Quando usar: dentro do pipeline, a cada commit/PR. É barato, rápido e pega o trivial antes de chegar à produção.
DAST: ataca a aplicação rodando
DAST (Dynamic Application Security Testing) testa a aplicação em execução, de fora, como um atacante cego ao código.
Encontra bem:
- XSS refletido, headers de segurança ausentes, configurações expostas.
- Problemas que só aparecem com a app de pé (TLS, cookies, redirecionamentos).
- Endpoints esquecidos respondendo na rede.
Não encontra:
- Falhas de autorização (o scanner não sabe o que é "seu").
- Lógica de negócio complexa.
- Vulnerabilidades que exigem encadear vários passos.
Quando usar: em ambiente de staging/homologação, periodicamente e antes de releases maiores.
Pentest manual: pensa como o atacante
O pentest manual é conduzido por um especialista que combina ferramentas com raciocínio. É a única camada que entende contexto.
Encontra (e só ele encontra):
- BOLA/BFLA e falhas de autorização contextual.
- Lógica de negócio quebrada (cupom infinito, estorno indevido, escalada de privilégio multi-passo).
- Cadeias de exploração: combinar três "bugs menores" em um comprometimento crítico.
Limitação: é um retrato de um momento. Por isso não substitui o automatizado no dia a dia — complementa.
Quando usar: em marcos críticos, mudanças que tocam dados sensíveis, exigência de compliance, ou antes de um lançamento de alto risco.
A tabela de decisão
| Critério | SAST | DAST | Pentest manual |
|--------------------------|--------|---------|----------------|
| Vê o código | Sim | Não | Se for grey-box|
| Roda sem app de pé | Sim | Não | Não |
| Acha lógica de negócio | Não | Não | Sim |
| Acha autorização (BOLA) | Não | Mal | Sim |
| Frequência ideal | Commit | Release | Marco / trimestre |
| Custo por execução | Baixo | Baixo | Maior |
| Falsos positivos | Altos | Médios | Baixos |
Como combinar sem desperdício
A receita madura não escolhe uma — orquestra as três:
- SAST no pipeline quebra o build no trivial. Barato e contínuo.
- DAST em staging valida o comportamento em runtime antes de cada release.
- Pentest manual focado entra nos marcos e mudanças críticas, cobrindo o que automação nunca alcança.
O erro clássico é pagar caro por pentest para encontrar XSS que o SAST pegaria de graça — ou confiar só no scanner e ser surpreendido por uma falha de lógica que custou o banco de dados inteiro.
Como a NexGuard pode ajudar
Na NexGuard, ajudamos você a montar esse programa em camadas: integramos SAST e DAST no seu pipeline para capturar o trivial automaticamente e reservamos o pentest manual para o que realmente exige cérebro humano — lógica de negócio, autorização e cadeias de exploração.
Assim você para de pagar caro pelo barato e direciona o investimento de segurança onde ele tem mais retorno. Todo achado vem com severidade, prova de conceito e retest gratuito.
👉 Quer estruturar um programa de AppSec que cobre todas as camadas sem desperdiçar orçamento? Fale com a NexGuard e converse com nossos especialistas.
