2つのスキャン

passive scan(静的)とactive scan(動的)がある
passiveはspiderによる通常アクセスの結果だけで分析
activeは積極的に攻撃

アクティブスキャン

contextに関係あるURLのみ含める(SaaSとかは入れないように！）
ポリシーは広めにテクノロジー欄で不要なものは削る

fuzzingができる。numberが使いやすいかも

静的&動的スキャン時に実行してくれるスクリプト
まずmarketplaceからインストールする.

スクリプト欄を右クリックでonにすると、各スキャンに組み込まれる

GitHub Actionsの場合、2種類あり

baselineは軽めで、ほとんど機能なし (passive scan) ログイン不可
full scanは重め。passive + active。なぜかajax spiderは行いません。
-j オプションでajax spiderが追加できるので推奨です

試験とともに、issueを作成可能です。
不要なアラートは無効化できます

Actionsのサーバからscanするサービスにアクセスできる必要があります
APIとフロント双方です。

不要になりました。

ある程度は防げますが、物足りないところです。
別途pen testのノウハウが必要です。

アプリレベル認証認可実装のミス
AWSの設定不備これはSecurity Hubなどで対応
3rd party脆弱性これはrenovateなどで防ぎましょう
専門担当者のペネトレーションテストや、外部ベンダーの脆弱性検査が必要です。
DASTは誤検知が多く、残念ながら開発者だけで完結させるのは難しい状態です