静的解析／動的解析とは？
静的解析／動的解析とは、ソースコードやバイナリを実行せずに解析して危険なコーディングを検出するのが静的解析（SAST）、実際に動作させて外部から入力を与え応答から脆弱性を検出するのが動的解析（DAST）。両者を組み合わせるIASTやソフトウェア構成分析（SCA）もある。
応用情報技術者試験の過去問では1回出題されています。
せいてきかいせき、どうてきかいせき
静的解析／動的解析の意味
ソースコードやバイナリを実行せずに解析して危険なコーディングを検出するのが静的解析（SAST）、実際に動作させて外部から入力を与え応答から脆弱性を検出するのが動的解析（DAST）。両者を組み合わせるIASTやソフトウェア構成分析（SCA）もある。
静的解析／動的解析の具体例
静的解析／動的解析は試験でどう引っ掛けられる？
検出できる対象が逆になる。静的解析（SAST）はソースコードが必要だが実行環境は不要で、網羅性は高い反面、実際には到達しない経路も指摘する（偽陽性が多い）。動的解析（DAST）は動作環境が必要だがソース不要で、設定不備やサーバの構成起因の問題を見つけられる反面、テストで叩けなかった経路は見逃す。ファジングは動的解析側、依存ライブラリの脆弱性を見るSCAは別カテゴリ。
静的解析／動的解析と関連する用語
静的解析／動的解析が出た過去問
サンドボックス機構に該当するものはどれか。
正解：不正な動作の可能性があるプログラムを特別な領域で動作させることによって、他の領域に悪影響が及ぶのを防ぐ。
要点：サンドボックスは隔離領域で実行し影響の波及を防ぐ
サンドボックスは、信頼できないプログラムを他の資源から隔離された保護領域の中だけで動かす仕組みです。ファイルやレジストリ、ネットワークへのアクセスを制限した状態で実行するため、たとえマルウェアであっても本体のシステムへ被害が及びません。未知の検体の挙動を安全に観察する動的解析にも用いられます。
出典：平成28年度 秋期 応用情報技術者試験 午前 問44（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。