مرور امنیتی کد که در بخش چهارم از توسعه امن محصول قرار دارد، یک فرآیند دستی یا خودکار است که کد برنامه را بررسی می‌کند. هدف از این بررسی شناسایی هرگونه نقص یا آسیب‌پذیری امنیتی موجود است.
بررسی خودکار امنیتی کد، فرآیندی است که در آن یک ابزار به‌طور خودکار کد یک برنامه را با استفاده از مجموعه‌ای از قوانین از پیش تعریف شده برای جستجوی کدهای آسیب‌پذیر بررسی می‌کند. بررسی خودکار می‌تواند مشکلات را در کد سریعتر از شناسایی دستی آنها پیدا کند.
بررسی کد دستی شامل یک انسان است که به‌دنبال کد برنامه، خط به خط، برای یافتن آسیب‌پذیری‌ها است. بررسی کد دستی به روشن شدن زمینه تصمیمات کدگذاری کمک می‌کند. ابزارهای خودکار سریع‌تر هستند، اما نمی‌توانند اهداف توسعه‌دهنده و منطق تجاری عمومی را در نظر بگیرند. بررسی دستی بیشتر استراتژیک است و به مسائل خاص نگاه می‌کند.
به‌منظور بررسی خودکار امنیتی کد از ابزارهایی با نام SAST (به معنی تست استاتیک امنیتی برنامه کاربردی) استفاده می‌گردد. این ابزارها به‌صورت قاعده محور می‌توانند آسیب‌پذیری‌های شناخته شده را کشف کنند.

برخی از نقاط ضعف و قوت ابزارهای SAST به شرح زیر است:

1. تشخیص نادرست آسیب‌­پذیری
2. عدم تحلیل منطق برنامه کاربردی
3. عدم اجرا به‌صورت محلی
4. عدم تشخیص آسیب‌پذیری
5. سرعت بالا در تشخیص
6. کاربری آسان
7. یکپارچگی با سامانه‌های DevOps

سرفصل‌های مرور امنیتی کد بوسیله ابزارهای SAST:

1) مبانی مرور امنیتی کد:

1. مرور اسناد امنیتی کد شامل OWASP
2. مرور فرآیند SecDevOps

(2 ساعت)

2) معرفی ابزارهای SAST منتخب

ارزیابی ابزارهای SAST منتخب

(1 ساعت)

3) مرور امنیتی کد (عملی)

(1 ساعت)

پیش‌نیاز علمی و یا عملی لازم برای شرکت کنندگان یا قید آزاد بودن شرکت برای عموم:

• متخصص امنیت
• توسعه دهندگان