Введение в DAST
Динамическое тестирование безопасности приложений (DAST) - это процесс анализа веб-приложения через пользовательский интерфейс с целью обнаружения уязвимостей при помощи имитации атак. Этот тип подхода оценивает приложение «снаружи внутрь», осуществляя атаки на приложение, подобно тому, как это делал бы злонамеренный пользователь. После того как сканер DAST выполняет эти атаки, он ищет результаты, которые не являются частью ожидаемого набора результатов и выявляет уязвимости безопасности.
Как работает DAST?
Сканер DAST ищет уязвимости в работающем приложении и затем отправляет автоматизированные предупреждения, если обнаруживает дефекты, которые могут привести к атакам, таким как SQL-инъекции, межсайтовый скриптинг (XSS) и другие. Поскольку инструменты DAST способны функционировать в динамической среде, они могут выявлять ошибки времени выполнения, которые не могут быть выявлены инструментами SAST.
Чтобы использовать аналогию с зданием, DAST-сканер можно представить как охранника. Однако, вместо того чтобы просто убедиться, что двери и окна закрыты, этот охранник идет на шаг дальше, пытаясь физически взломать здание. Он может попытаться взломать замки на дверях или разбить окна. После завершения этого исследования охранник может сообщить руководителю здания и объяснить, как ему удалось взломать здание. DAST-сканер можно рассматривать таким же образом - он активно пытается найти уязвимости в работающей среде, чтобы команда DevOps знала, где и как их исправить.
Преимущества DAST:
Независимость от приложения
Сразу же обнаруживает уязвимости, которые могут быть использованы
Не требует доступа к исходному коду
Недостатки DAST:
Не определяет точное расположение уязвимости в коде
Требуется знание в области безопасности для интерпретации отчетов
Тест может занимать много времени
Last updated