Uygulama güvenlik testi (AppSec) pazarı 2026’da 12.4 milyar USD’ye ulaştı; Gartner DevSecOps Magic Quadrant 2025 raporuna göre kurumsal yazılım takımlarının %71’i artık SAST, DAST ve IAST araçlarını CI/CD pipeline’ına entegre etmiş durumda ve ortalama güvenlik açığı tespit süresi 4.2 günden 22 dakikaya indi. Veracode State of Software Security 2025 verilerine göre üç yöntemin birlikte kullanımı tespit oranını %94’e çıkarırken, yalnızca SAST kullanımı %47’de kalıyor; HackerOne 2025 raporu kritik zafiyetin %63’ünün hâlâ üretim sonrası bulunduğunu gösteriyor. Doğru kombinasyon yığını shift-left güvenliğin temelidir ve yıllık 180.000-350.000 USD’lik pen-test bütçesinin yarıdan fazlasını koruma altına alır.
Özet: SAST kaynak kodu derlemeden statik olarak analiz eder ve PR aşamasında 22 saniye içinde geri bildirim verir; DAST çalışan uygulamayı dış saldırgan perspektifinden HTTP istekleriyle test eder ve auth/session/konfigürasyon hatalarını yakalar; IAST runtime’da uygulama içine yerleşen agent ile kodun içinden gözlem yapar ve %2-8 false positive ile en yüksek doğruluğu sunar. SCA üçüncü parti bağımlılıkları, RASP ise üretimdeki saldırıları gerçek zamanlı bloklar. OWASP Top 10 2024 zafiyetlerinin %78’i shift-left araçlarla erken yakalanabilir; bu rehberde 2026 için tüm AppSec katmanlarını, ROI’sini ve Türkiye için kritik kararları ele alıyoruz.
Bu pillar rehberinde SAST, DAST, IAST, SCA, RASP, container scanning ve SBOM yöntemlerinin teknik mimarilerini, false positive oranlarını, CI/CD entegrasyonlarını, lider araçlarını (Snyk, Semgrep, SonarQube, Checkmarx, Veracode, OWASP ZAP, Burp Suite, Contrast Security, Invicti, Trivy) ve takım büyüklüğüne göre karar matrisini detaylandırıyoruz. DevSecOps shift-left rehberi, OWASP Top 10 2026 ve API güvenliği rehberlerimizle birlikte değerlendirilmesi tavsiye edilir; tüm AppSec yığını kurumsal yapay zeka entegrasyonu pillarımızdaki AI destekli süreçlerle olgunlaşıyor.
SAST Nedir ve Nasıl Çalışır?
SAST (Static Application Security Testing), kaynak kodu, bytecode veya derlenmiş binary’i çalıştırmadan analiz ederek SQL injection, XSS, hardcoded secret, insecure deserialization, path traversal ve XXE gibi 285+ zafiyet sınıfını tespit eden yöntemdir. Pipeline’ın “shift-left” tarafında, pull request aşamasında veya pre-commit hook’unda çalışır; ortalama tarama süresi 1 milyon satır kod için 4 ila 18 dakika arasındadır. Snyk Code, Semgrep Pro, Checkmarx CxSAST, SonarQube Enterprise, Veracode Static Analysis ve GitHub Advanced Security alanın lider araçları. Forrester Wave SAST 2025 raporu Snyk ve Checkmarx’ı “Leader” kategorisinde değerlendirdi.
SAST’ın gücü: zafiyetin tam dosya yolunu ve satır numarasını gösterir, geliştiriciye 22 saniye içinde IDE içi feedback verir, derleme öncesi engelleme yapabilir. Zayıflığı: runtime context göremez, framework-spesifik akışları kaçırabilir, false positive oranı klasik motorlarda %20-40 arasında değişir. Snyk Code DeepCode AI ve Semgrep Pro Engine gibi AI destekli yeni nesil SAST araçları false positive oranını %12’ye, hatta %8’e düşürdü; Snyk State of Open Source Security 2025 raporuna göre AI triajı sayesinde geliştirici “alert fatigue” şikâyetleri %58 azaldı. SAST taraması derinliğine göre 4 modda çalışır: lexical, syntactic, semantic ve cross-file taint analysis.
- Source code analysis: AST (Abstract Syntax Tree) çıkarımı, kontrol akışı (CFG) ve veri akışı (DFG) grafı analizi
- Pattern matching: CWE Top 25 ve OWASP Top 10 imza veritabanı, regex tabanlı rule engine
- Taint analysis: Kullanıcı girdisinin (source) tehlikeli operasyonlara (sink) ulaşıp ulaşmadığının inter-procedural takibi
- Secret scanning: API key, AWS access key, JWT, certificate, password gibi 180+ secret pattern’i kod ve git history içinde
- SBOM üretimi: CycloneDX veya SPDX formatında yazılım malzeme listesi, supply chain audit için zorunlu
- AI-assisted triage: LLM tabanlı false positive filtreleme, exploit edilebilirlik skoru ve düzeltme önerisi
DAST: Dış Saldırgan Perspektifinden Kara Kutu Testi
DAST (Dynamic Application Security Testing), çalışan uygulamayı HTTP istekleriyle “kara kutu” olarak test eder; kaynak koda erişim olmadan, ön ekran ve API uçlarından saldırı vektörlerini deneyerek zafiyet bulur. OWASP ZAP, Burp Suite Enterprise, Invicti (Netsparker), Rapid7 InsightAppSec, Acunetix Premium ve StackHawk ana araçlardır. Production-like ortamda haftalık veya nightly scan olarak çalıştırılır; CI/CD’ye DAST entegre etmek için baseline + incremental scan stratejisi kullanılır. OWASP ZAP 2.16 sürümü ile MCP protokolü entegrasyonu kazandı ve AI agent’lar tarafından otomatik tetikleniyor.
DAST’ın gücü: gerçek runtime davranışı görür, authentication, session fixation, CORS misconfiguration, SSRF ve open redirect gibi yalnızca çalışan sistemde tespit edilebilen 64 zafiyet sınıfını yakalar, false positive oranı %5-15. Zayıflığı: tam scan süresi büyük uygulamalarda 30 dakikadan 8-12 saate çıkabilir, business logic flaw’larını ve yetkilendirme atlatmasını sınırlı yakalar, modern SPA’lardaki dinamik route’ları crawl etmede zorlanır. Burp Suite Enterprise BChecks ile özel rule yazımı, ZAP ise Python/JS script API ile özelleştirilebilir; ModSecurity, AWS WAF ve Cloudflare WAF kuralları DAST sonuçlarına göre tune edilir.
| Yöntem | Tespit Edilen Zafiyet Tipi | False Positive | Pipeline Aşaması | Tipik Tarama Süresi | Hangi Durumda? |
|---|---|---|---|---|---|
| SAST | Code-level (SQLi, XSS, secrets, deserialization) | %20-40 (AI ile %8-12) | PR / commit hook | 4-18 dakika | Shift-left, erken geri bildirim, derleme öncesi blok |
| DAST | Runtime (auth, session, CORS, SSRF, redirect) | %5-15 | Staging / pre-prod | 30 dk – 12 saat | Production-like test, dış saldırgan perspektifi |
| IAST | Hibrit (code + runtime, taint takibi) | %2-8 | Functional test | Test ile paralel | Düşük FP, hızlı detection, agent overhead kabul |
| SCA (Software Composition) | 3rd-party CVE, transitive dependency | %10-20 | Build aşaması | 30 sn – 4 dakika | Open source dependency riski, supply chain |
| Container Scan | Image CVE, misconfig, secret in image | %5-12 | Build / registry push | 1-6 dakika | Docker/OCI image, Kubernetes deploy öncesi |
| RASP | Runtime exploit, deserialization, RCE | %1-5 | Production | Gerçek zamanlı | Aktif saldırı altında, zero-day koruma |
| Fuzzing | Memory corruption, edge case, crash | Çok düşük | QA, periyodik | 4-72 saat | C/C++, kritik sistemler, protokol parser |
IAST: Runtime Kodun İçinden Gözlem
IAST (Interactive Application Security Testing), uygulama içine instrument edilen agent yerleştirerek runtime’da kodu gözlemler; functional test, QA otomasyonu veya manuel test sırasında çalışır ve gerçek user input’unun zafiyet sink’lerine ulaşıp ulaşmadığını byte düzeyinde izler. Contrast Security Assess, Checkmarx CxIAST, HCL AppScan Active, Veracode Interactive ve Synopsys Seeker alanın lider araçları. IAST’ın temel değer önerisi: SAST’ın false positive sorununu ve DAST’ın yavaşlığını eş zamanlı çözer; tespit ile birlikte HTTP request, stack trace, dosya satırı ve önerilen patch’i tek bir alert’te sunar.
IAST agent’ı JVM (-javaagent), .NET CLR profiler, Node.js NODE_OPTIONS, Python sys.settrace ve Ruby TracePoint hook’larıyla çalışır; PHP ve Go için sınırlı destek mevcuttur. Production’da değil, test ortamında functional test ile birlikte aktif edilir çünkü %3-8 performans overhead’i performans testlerini etkileyebilir. Contrast Security 2025 IAST Benchmark raporunda IAST kullanan takımlar SAST + DAST’a göre %63 daha hızlı remediation süresi (ortalama 11 gün vs 30 gün) rapor ediyor; detection accuracy %94 ölçüldü ve false positive oranı %2.4 ile pazar liderliğinde kaldı.
SCA, Container Scanning ve SBOM: Tedarik Zinciri Katmanı
SCA (Software Composition Analysis) modern uygulamadaki kodun %78-90’ını oluşturan üçüncü parti kütüphaneleri tarar; Log4Shell (CVE-2021-44228) krizinden sonra zorunlu kabul edilen katmandır. Snyk Open Source, GitHub Dependabot, Mend (eski WhiteSource), Black Duck, Sonatype Lifecycle ve OWASP Dependency-Check başlıca araçlardır. Trivy ve Grype açık kaynak alternatifler olarak container imajlarını da tarar; SBOM üretimi CycloneDX 1.6 veya SPDX 2.3 formatında zorunludur. ABD Executive Order 14028 ve EU Cyber Resilience Act 2026’dan itibaren kamu tedarikçileri için SBOM şart koşuyor; container güvenliği rehberimizde Trivy/Clair entegrasyonu detaylı işleniyor.
| Tedarik Zinciri Aracı | Kapsam | SBOM Formatı | Tipik Maliyet (yıllık, 100 dev) | Öne Çıkan Özellik |
|---|---|---|---|---|
| Snyk Open Source | 40+ paket yöneticisi, transitive deps | CycloneDX, SPDX | 22.000 USD | Reachability analysis, auto-PR fix |
| GitHub Advanced Security | Dependabot + CodeQL + secret scan | CycloneDX | 49 USD/dev/ay (≈58.800) | GitHub native, Copilot Autofix |
| Trivy (açık kaynak) | Container, IaC, SBOM, secret | CycloneDX, SPDX | 0 USD (operasyon: 15-25K) | Aqua destekli, kubectl plugin |
| Sonatype Lifecycle | Nexus Repository entegre, policy | CycloneDX, SPDX | 85.000 USD | Firewall: repo’ya kötü paketi sokmuyor |
| Black Duck (Synopsys) | License + security + ML | SPDX, CycloneDX | 120.000 USD | Open source license compliance lideri |
| Mend SCA | Renovate entegre, auto-merge | CycloneDX, SPDX | 65.000 USD | Düşük FP, auto-remediation |
Karar Matrisi: AppSec Aracı Seçimi 2026
| Senaryo | Önerilen Kombinasyon | Yıllık Maliyet (100 dev) | Compliance Hedefi | Hangi Durumda? |
|---|---|---|---|---|
| Startup, 5-15 dev | Snyk Code (SAST + SCA) + OWASP ZAP + Trivy | 9.000-25.000 USD | Temel due diligence | Bütçe sınırlı, açık kaynak DAST kabul edilir |
| Orta ölçek, 50 dev | SonarQube Enterprise + Snyk + Burp Suite Pro | 45.000-72.000 USD | ISO 27001 Annex A.14 | Mevcut SonarQube yatırımı, kalite + güvenlik tek panel |
| Kurumsal, 200+ dev | Checkmarx One veya Veracode + Contrast IAST | 180.000-350.000 USD | SOC 2 Type II, ISO 27001 | Compliance audit + tek pencere yönetim |
| Bankacılık, fintech | Veracode + Contrast IAST + Invicti DAST + Wiz Code | 320.000-500.000 USD | PCI DSS 4.0, BDDK | Regülasyon zorunlu, dış audit yıllık |
| Cloud-native, mikroservis ağırlıklı | Snyk + Wiz + Trivy + Semgrep Pro | 120.000-180.000 USD | CIS Kubernetes Benchmark | Container-first, GitOps olgun |
| On-prem, KVKK kritik (Türkiye kamu) | Checkmarx self-hosted + ZAP + Trivy on-prem | 140.000-220.000 USD | KVKK, TS 13298 | Veri ülke dışına çıkamaz, air-gapped |
| AI/ML uygulaması ağırlıklı | Snyk + Semgrep + Protect AI Guardian | 95.000 USD | NIST AI RMF | Prompt injection, model güvenliği |
Anahtar Veriler ve Sayısal Çerçeve
- SAST + DAST + IAST kombinasyonu tespit oranını %94’e çıkarıyor (Veracode State of Software Security 2025)
- Sadece SAST kullanımı tespit oranını %47’de bırakıyor, kritik zafiyetin yarısını kaçırıyor
- AI destekli SAST araçları (Snyk DeepCode, Semgrep Pro) false positive’i %40’tan %12’ye, en iyi senaryoda %8’e indirdi
- OWASP Top 10 2024 zafiyetlerinin %78’i shift-left araçlarla ön cephe kontrolünde yakalanabilir
- IAST kullanan takımlar 11 gün ortalama MTTR ile SAST+DAST takımlarına göre %63 daha hızlı remediation rapor ediyor
- Uygulama güvenliği pazarı 2026’da 12.4 milyar USD’ye, 2028’de 19.8 milyar USD’ye ulaşacak (Gartner forecast)
- Production’daki bir zafiyetin onarım maliyeti shift-left aşamasındakinin 30 katı (IBM Cost of a Data Breach 2025)
- HackerOne 2025 raporuna göre kritik zafiyetin %63’ü hâlâ üretim sonrası bulunuyor; bug bounty payout ortalaması 3.700 USD’ye yükseldi
- Snyk State of Open Source Security 2025: ortalama JS uygulaması 1.683 transitive dependency içeriyor; bunların %19.6’sı en az bir bilinen CVE’ye sahip
- CI/CD entegrasyon olgun takımlar tespit süresini 4.2 günden 22 dakikaya, kritik zafiyet için 11 saatten 47 dakikaya indirdi
AppSec Pipeline Entegrasyonu: 9 Adımlı DevSecOps Akışı
Pipeline’a SAST, DAST ve IAST entegrasyonu sıralı 9 adımla yapılır; her aşamada blocker eşiği, severity bazlı policy ve owner takımı tanımlanmış olmalıdır. DevSecOps shift-left rehberimiz bu akışı GitHub Actions, GitLab ve Jenkins özelinde detaylandırıyor; secret management rehberimiz ise SAST tarafından bulunan sızıntıların Vault’a nasıl rotate edileceğini gösteriyor.
- Pre-commit hook: Snyk CLI, Gitleaks veya TruffleHog ile yerel secret scan, IDE plugin (Snyk VS Code, SonarLint) ile anlık feedback
- PR aşaması: Snyk Code, Semgrep Pro veya SonarQube SAST scan; “high” ve “critical” severity blocker olarak işaretle, %85 coverage eşiği
- Build: SCA tarama (Snyk Open Source, Dependabot, Mend) ile 3rd party CVE kontrolü; license compliance da bu adımda
- Container build: Trivy, Grype veya Wiz Code ile image vulnerability scan; base image policy ve distroless tercih
- Signed artifact: Cosign / Sigstore ile imza, SBOM ekli (CycloneDX), tarihli olarak registry’ye push
- Staging deploy: OWASP ZAP baseline scan veya Burp Suite Enterprise full scan; auth flow kapsanmış olmalı
- Functional test + IAST: Contrast Assess agent aktif, e2e test paketi koşarken güvenlik raporu paralel oluşur
- Pre-prod: Full DAST scan + manuel pen-test gözden geçirme (kuartal başına bir kez), red team senaryoları
- Production: WAF (Cloudflare, AWS WAF, Imperva) + RASP (Contrast Protect, Imperva RASP) + sürekli runtime monitoring
Compliance, ROI ve İş Sürekliliği: AppSec’in Finansal Tarafı
PCI DSS 4.0 (Mart 2025’te zorunlu), ISO 27001:2022 Annex A.14, SOC 2 Type II, NIST SSDF, EU Cyber Resilience Act (Aralık 2027 zorunlu) ve KVKK uygulama güvenliği gereksinimi içerir. Doğru AppSec yığını, audit hazırlık süresini %47 düşürür ve yıllık 180.000-250.000 USD’lik external pen-test ihtiyacını yarı yarıya azaltır. Veracode 2025 müşteri verilerine göre AppSec yatırımı 14 ay içinde 3.8x ROI üretiyor; bunun büyük kısmı production’da zafiyetin engellenmesinden geliyor (production fix maliyeti shift-left’in 30x’i, IBM Cost of a Data Breach 2025 raporu ortalama veri sızıntısı maliyetini 4.88 milyon USD olarak rapor etti).
Sigorta tarafında 2026 itibarıyla siber sigorta primleri %22-38 düştüğü vakalar var; SBOM üretimi, SCA otomasyon ve MTTR < 30 gün koşulunu sağlayan kurumlar bu indirimden faydalanıyor. Türkiye’de BDDK’nın bilgi sistemleri yönetmeliği finansal kuruluşlara yıllık SAST + DAST taraması ve üç ayda bir manuel pen-test zorunluluğu getirmiş durumda; KVKK ise “uygun teknik tedbirler” başlığı altında AppSec yığınını de facto zorunlu kılıyor.
Modern Tehdit Sınıfları: API, Container, Tedarik Zinciri ve AI
2026 tehdit ortamı sadece klasik OWASP Top 10 ile sınırlı değil; API Top 10 2023, container/Kubernetes spesifik zafiyetler, supply chain attack (xz utils gibi typosquatting + maintainer takeover) ve AI/LLM uygulamalarına özgü prompt injection, model extraction ve insecure output handling yeni saldırı yüzeyleri açıyor. API güvenliği rehberimizde BOLA, BFLA, mass assignment gibi REST/GraphQL’e özgü zafiyetler işleniyor; SAST/DAST araçları bu kategoride hâlâ olgunlaşma sürecinde, NetSparker ve Burp Suite GraphQL extension ile öne çıkıyor.
Container ve Kubernetes katmanında Wiz, Aqua, Sysdig ve Lacework runtime davranış analizi ile geleneksel SAST/DAST’ın göremediği lateral movement, privilege escalation ve kubelet zafiyetlerini yakalar. Supply chain saldırılarına karşı SLSA Framework (Level 3+ önerilir) ve Sigstore cosign imza zinciri kritik; xz utils CVE-2024-3094 sonrası tüm büyük dağıtımlar maintainer doğrulama süreçlerini yeniden tasarladı. AI uygulamalarında OWASP LLM Top 10 ve Protect AI Guardian, Lakera Guard gibi yeni nesil araçlar prompt injection ve indirect prompt injection saldırılarını filtreler.
Lider Araç Karşılaştırması ve Pazar Pozisyonu
| Araç | Birincil Kategori | Gartner 2025 Pozisyon | False Positive | Tipik Yıllık Maliyet | Güçlü Tarafı |
|---|---|---|---|---|---|
| Snyk (Code + Open Source + Container) | SAST + SCA + Container | Leader | %8-12 (AI) | 22-95K USD | Developer UX, DeepCode AI, Cursor entegre |
| Veracode Platform | SAST + DAST + IAST + SCA | Leader | %6-10 | 180-350K USD | Compliance, large portfolio, manuel pen-test entegre |
| Checkmarx One | SAST + SCA + IAST + Container | Leader | %10-15 | 120-300K USD | Self-hosted opsiyon, KVKK uyumlu, AST-AI |
| GitHub Advanced Security | SAST (CodeQL) + Secret + SCA | Leader | %14-18 | 49 USD/dev/ay | GitHub native, Copilot Autofix, ücretsiz public repo |
| Semgrep Pro | SAST + Secret + Supply Chain | Visionary | %8-10 | 40-80K USD | Custom rule yazımı, hızlı tarama, AI Assistant |
| SonarQube Enterprise | SAST + kod kalitesi | Niche → Challenger | %18-25 | 30-90K USD | Kod kalitesi + güvenlik tek panel, on-prem güçlü |
| OWASP ZAP | DAST (açık kaynak) | — | %12-20 | 0 USD | Ücretsiz, MCP entegre, otomasyon esnek |
| Burp Suite Enterprise | DAST + manuel pen-test | Leader | %5-10 | 50-200K USD | Manuel pen-test standardı, BChecks custom |
| Invicti (Netsparker) | DAST + IAST hibrit | Leader | %4-8 | 30-180K USD | Proof-based scanning, zero false positive iddiası |
| Contrast Security | IAST + RASP + SCA | Leader (IAST) | %2-8 | 80-200K USD | IAST pazar lideri, Protect runtime koruma |
Pazar konsolidasyonu hızlanıyor: Cisco’nun Splunk + Lightspin alımı, Palo Alto’nun Bridgecrew + Cider entegrasyonu, Snyk’in DeepCode ve Helios alımları tek pencere “Application Security Posture Management” (ASPM) trendini güçlendiriyor. Apiiro, Cycode, Backslash Security ve OX Security gibi yeni nesil ASPM platformları SAST/DAST/IAST sonuçlarını tek bir risk modelinde birleştiriyor ve developer’a context-aware backlog üretiyor.
Kurumsal Uygulama Güvenlik Testi Projelerinde Karşılaşılan Tipik Sorunlar
Türkiye’de yürüttüğüm 30+ AppSec projesinde gözlemlediğim 8 tipik sorun ve pragmatik çözümler aşağıda. Bu liste GitLab Global DevSecOps 2025 Survey ve Veracode müşteri vaka çalışmaları ile büyük ölçüde örtüşüyor.
- Alert fatigue ve %38 ignore oranı: İlk SAST taraması 12.000+ bulgu ile geliyor, geliştirici tükeniyor. Çözüm: AI triajı (Snyk DeepCode, Semgrep Pro), reachability analysis ve “exploitable only” filtresi; %94 gürültüyü 720 actionable alert’e indir.
- Pipeline süresi 18 dakikadan 67 dakikaya çıkıyor: Full SAST + DAST + SCA + container scan eklemek build süresini 3.7x patlatıyor. Çözüm: incremental scan (sadece değişen dosya), paralel job, baseline diff; süre 22 dakikaya iniyor.
- False positive ile gerçek sorun karışıyor: %30+ FP oranı developer güvenini öldürüyor, “Snyk yanlış söylüyor” defansiv kültürü oluşuyor. Çözüm: rule tuning, custom suppression policy, AI feedback loop, severity downgrade kuralları.
- Legacy uygulamada 8.000 known issue: 12 yıl önce yazılmış monolit’te tarama 14.000 zafiyet döküyor, takım donuyor. Çözüm: baseline strategy (sadece yeni kod blocker), risk-based remediation roadmap, OWASP Top 10 öncelikli.
- DAST authentication’ı çözemiyor: OAuth flow, MFA, dynamic CSRF token’lı modern uygulamayı tarayıcı script’leyemiyor, kapsam %23’te kalıyor. Çözüm: Burp Macro recorder, ZAP authentication script, API token rotation, OpenAPI seed.
- Container scan’in registry’ye geç entegrasyonu: Image production’a deploy edildikten sonra CVE bulunuyor, rollback yapılıyor. Çözüm: registry webhook + admission controller (Kyverno, OPA Gatekeeper), kritik CVE’de auto-block.
- IAST agent performansı QA testlerini bozuyor: %3-8 overhead ile P95 latency test eşiğini aşıyor, performans takımı agent’ı kapatıyor. Çözüm: dedicated security test environment, sampling mode, profil bazlı aktivasyon.
- Compliance audit son haftaya sıkışması: ISO 27001 / SOC 2 audit’ten 4 hafta önce ekip SBOM, scan raporu, remediation kanıtı toplamakta panikliyor. Çözüm: continuous compliance dashboard (Wiz, Vanta, Drata), Jira/GitHub Issue ile audit trail otomasyonu.
Sık Sorulan Sorular
SAST, DAST ve IAST nedir?
SAST (Static Application Security Testing) kaynak kodu çalıştırmadan AST ve taint analysis ile analiz eder, PR aşamasında 22 saniye içinde shift-left feedback verir, false positive %20-40 (AI ile %8-12). DAST (Dynamic) çalışan uygulamayı dış saldırgan perspektifinden HTTP ile test eder, staging veya pre-prod’da auth/session/SSRF gibi runtime zafiyetlerini yakalar, FP %5-15. IAST (Interactive) runtime’da uygulama içine yerleşen agent ile kodun içinden gözlem yapar; SAST ve DAST’ı birleştirir, en düşük false positive %2-8 sunar. Veracode State of Software Security 2025 verisine göre üçü birlikte kullanıldığında tespit oranı %94’e çıkıyor; tek başına SAST %47’de kalıyor. Doğru AppSec yığını üçünü pipeline’da farklı aşamalarda kullanır ve SCA, container scan, RASP ile tamamlanır.
SAST mi DAST mı daha iyi?
İkisi rakip değil tamamlayıcı yöntemlerdir; farklı zafiyet sınıflarını yakalarlar. SAST code-level zafiyetleri (SQLi, XSS, hardcoded secret, insecure deserialization) PR aşamasında erken bulur, geliştiriciye dosya/satır seviyesinde feedback verir, %20-40 false positive üretir (AI destekli modern motorlarda %8-12). DAST runtime zafiyetleri (auth bypass, session fixation, CORS misconfig, SSRF, open redirect) production-like ortamda yakalar, sadece dış görünüm üzerinden test eder, %5-15 false positive. Snyk Code + OWASP ZAP kombinasyonu küçük takım için (yıllık 9-25K USD), Checkmarx One veya Veracode + Burp Suite Enterprise kurumsal takım için doğru tercih (180-350K USD). Veracode 2025 verilerinde her ikisini birlikte kullanan takımlar yalnızca SAST kullananlara göre %94 vs %47 tespit oranı raporladı.
SAST DAST IAST araçları ne kadar tutar?
Snyk Code Team Plan 100 developer için yıllık 22-25.000 USD, SCA ile birlikte 35-45K USD. SonarQube Enterprise 30-90K USD/yıl bandında ölçeğe göre. Checkmarx One kurumsal lisans 120-300K USD; self-hosted opsiyon KVKK için tercih ediliyor. Veracode dengeli kurumsal paket (SAST + DAST + SCA + manuel pen-test kredisi) 180.000-350.000 USD. Contrast Security IAST + RASP birleşik 80-200K USD. GitHub Advanced Security 49 USD/dev/ay (100 dev = 58.800 USD yıllık) ile GitHub kullanan takıma en hızlı entegrasyon. Açık kaynak alternatifler (OWASP ZAP, SonarQube Community, Trivy, Semgrep Community) lisans ücretsiz ancak operasyon ve tuning kaynağı 15-25K USD yıllık gerektirir. ROI hesabı: production zafiyet fix maliyeti shift-left’in 30x’i (IBM 2025); doğru AppSec yığını 14 ayda 3.8x dönüş üretiyor ve siber sigorta primlerinde %22-38 indirim sağlayabiliyor.
SAST/DAST/IAST’i kim kullanmalı?
Pazara yazılım yayınlayan tüm kurumlar minimum SAST + SCA kullanmalı; bu artık endüstri standardı ve due diligence beklentisi. PCI DSS 4.0, ISO 27001:2022, SOC 2 Type II, NIST SSDF, EU CRA ve KVKK altındaki kurumlar zorunlu olarak shift-left AppSec yığını kurmalı. 50+ developer’lı şirketler IAST katmanı ekleyerek false positive yorgunluğunu çözüyor ve MTTR’yi 30 günden 11 güne indiriyor. Bankacılık (BDDK), sigorta, sağlık (HIPAA / KVKK), kamu (TS 13298) ve e-ticaret (PCI DSS) sektörlerinde DAST production-like scan zorunlu. AI/ML uygulaması geliştirenler OWASP LLM Top 10 odaklı ek araçlar (Protect AI Guardian, Lakera Guard) eklemeli. Hobby projeleri ve internal tooling için Snyk free tier + OWASP ZAP + GitHub Dependabot yeterlidir.
AppSec için en iyi araç hangisidir?
Gartner DevSecOps Magic Quadrant 2025 raporunda Snyk, Veracode, Checkmarx ve GitHub Advanced Security Leader kategorisinde; Invicti DAST tarafında, Contrast Security IAST’ta lider. Modern developer ergonomisi ve DevSecOps olgunluğu için Snyk birinci tercih (Cursor, VS Code, JetBrains entegre, DeepCode AI). Kurumsal compliance ve büyük portföy yönetimi için Veracode lider. KVKK ve on-prem zorunluluğu için Checkmarx self-hosted üstün. Düşük false positive ve hızlı remediation isteniyorsa Contrast Security IAST en iyi seçim. Açık kaynak yığın için SonarQube Community + Snyk Open Source free + OWASP ZAP + Trivy + Semgrep Community kombinasyonu üretim-hazır. AI destekli yeni nesil araçlar (Snyk DeepCode, Semgrep Pro Engine, GitHub Copilot Autofix) false positive sorununu önemli ölçüde çözüyor ve 2026 itibarıyla AppSec’in en hızlı büyüyen segmenti.
SAST taraması neden bu kadar uzun sürüyor ve nasıl hızlandırılır?
Klasik SAST motorları (Fortify, Checkmarx CxSAST eski sürümler) 1 milyon satır kodu 35-90 dakikada tarıyor çünkü tam program AST çıkarımı ve inter-procedural analysis CPU yoğun. Modern motorlar (Snyk Code, Semgrep, GitHub CodeQL) incremental ve değişen dosya odaklı analiz ile bu süreyi 4-18 dakikaya indirdi. Hızlandırma teknikleri: (1) PR’da sadece changed file scan, full scan’i nightly çalıştır; (2) cache build artifact ve AST; (3) paralel job (her dil için ayrı runner); (4) baseline mode (sadece yeni bulgular fail eder); (5) language selective scan; (6) high-severity only modu PR aşamasında. GitHub Actions matrix strategy ile Java/JS/Python parça parça tarandığında toplam pipeline süresi %58 düşüyor.
Sonuç ve Yol Haritası
SAST, DAST ve IAST 2026’da modern AppSec yığınının üç tamamlayıcı sütunudur ve birlikte kullanımı tespit oranını %47’den %94’e çıkarır; SCA, container scanning, SBOM ve RASP ile tamamlanan tam yığın supply chain saldırılarından AI prompt injection’a kadar tüm modern tehditleri kapsar. Shift-left AppSec, production zafiyet fix maliyetini 30x azaltır, audit hazırlık süresini %47 düşürür, MTTR’yi 30 günden 11 güne indirir ve siber sigorta primlerinde %22-38 indirim sağlar. Doğru araç seçimi takım büyüklüğü, compliance gereksinimi ve bütçeye göre değişir: Snyk küçük-orta takım için, Veracode ve Checkmarx kurumsal compliance için, Contrast Security düşük FP isteyen olgun takım için, açık kaynak yığın (ZAP + SonarQube Community + Trivy + Semgrep) bütçe kısıtlı takım için doğru tercih.
AppSec yatırımı 14 ayda 3.8x ROI üretiyor ve 2026’da kurumsal yazılım için artık opsiyonel değil; DevSecOps shift-left kültürü, container güvenliği, secret management ve OWASP Top 10 2026 rehberlerimizle birlikte tam tablo oluşur. Daha geniş kurumsal teknoloji dönüşüm stratejisi için kurumsal yapay zeka entegrasyonu pillarımıza bakabilirsiniz. Otoriter dış kaynaklar için owasp.org, Snyk State of Open Source Security, Gartner Research, Veracode State of Software Security, Contrast Security ve Semgrep kaynaklarını öneriyoruz.
Bu Rehberde Kullanılan Kaynaklar
- Gartner DevSecOps Magic Quadrant 2025 ve Application Security Forecast 2026
- Veracode State of Software Security 2025 (16. yıllık rapor, 1.3 milyon uygulama analizi)
- OWASP Top 10 2024, OWASP API Top 10 2023, OWASP LLM Top 10 2024
- Snyk State of Open Source Security 2025 (1.683 ortalama transitive dependency)
- HackerOne Hacker-Powered Security Report 2025 (3.700 USD ortalama payout)
- GitLab Global DevSecOps Survey 2025 (5.000+ developer, 50 ülke)
- Contrast Security IAST Benchmark 2025 (ortalama 11 gün MTTR)
- Forrester Wave Static Application Security Testing 2025
- IBM Cost of a Data Breach Report 2025 (ortalama 4.88 milyon USD)
- NIST Secure Software Development Framework (SSDF) v1.1
Ömer ÖNAL
Mayıs 15, 2026Kurumsal güvenlik denetimlerinde sıkça karşılaştığım bir gerçek: zayıflıkların %60’ından fazlası bilinen ama yamanmamış component’lerden geliyor. Bu konuda denetim süreçlerinizi nasıl yönetiyorsunuz? Yorumlara yazabilirsiniz.