動態應用程序安全測試 (DAST) 或動態代碼分析旨在通過與正在運行的應用程序交互來識別漏洞。這使它能夠識別只能在運行的應用程序中檢測到的編譯時和運行時漏洞。

動態應用程序安全測試 (DAST) 如何工作？

DAST 解決方案識別應用程序中的潛在輸入字段，然后向它們發送各種異常或惡意輸入。這可能包括嘗試利用常見類型的漏洞——例如 SQL 注入命令、跨站點腳本 (XSS) 漏洞和長輸入字符串——以及可能發現應用程序中輸入驗證和內存管理問題的異常輸入。

根據應用程序對各種輸入的響應，DAST 工具可以識別它是否包含特定漏洞。例如，如果 SQL 注入攻擊提供對數據的未授權訪問，或者應用程序因無效或格式錯誤的輸入而崩潰，則表明存在可利用的漏洞。

為什么 DAST 很重要

DAST 解決方案旨在識別正在執行的應用程序中的潛在漏洞。這使得找到可能影響應用程序功能和安全性的配置或運行時漏洞成為可能。

優點和缺點

DAST 解決方案是企業應用程序安全策略的重要組成部分。DAST 解決方案的一些主要優點包括：

• 檢測運行時問題：DAST 掃描器與正在運行的應用程序交互，使其能夠檢測應用程序中的編譯時和運行時問題。
• 低誤報率：DAST 通過利用漏洞來識別漏洞，使其能夠驗證潛在漏洞是否確實對應用程序的功能或安全構成威脅。
• 與語言無關：DAST 解決方案在黑盒評估中測試正在運行的應用程序，這意味著它可用于在任何環境下以任何語言編寫的應用程序。

盡管有許多優點，但 DAST 并不是一個全面的解決方案。DAST 的一些主要缺點包括：

• 在 SDLC 中出現較晚：DAST 需要訪問正在運行的應用程序，這意味著它只能在軟件開發生命周期 (SDLC) 的后期執行，此時修復漏洞的成本更高。
• 漏洞位置：DAST 解決方案可以識別應用程序中存在的漏洞，但無法訪問源代碼，因此無法在代碼庫中找到確切位置。
• 代碼覆蓋率：DAST 解決方案評估正在運行的應用程序，這意味著它們可能會遺漏未執行代碼部分中的漏洞。

DAST 與 SAST

靜態應用程序安全測試 (SAST) 對應用程序的源代碼進行分析，而不是與正在運行的應用程序進行交互。DAST 和 SAST 是應用程序安全性的互補方法。DAST 和 SAST 之間的一些主要區別包括：

• 測試類型：SAST 是一種白盒漏洞掃描，可以完全訪問應用程序的源代碼，而 DAST 是一種不了解應用程序內部結構的黑盒評估。
• 所需的代碼成熟度：SAST 解決方案掃描源代碼，這使它們能夠在部分代碼上運行。DAST 解決方案只能分析正在運行的應用程序，這需要更成熟的代碼。
• SDLC 階段：SAST 分析源代碼的能力使其能夠在 SDLC 中比 DAST 更早地執行，后者需要一個正在運行的應用程序。
• 補救成本：由于 SAST 分析發生在 SDLC 的較早階段，因此與使用 DAST 相比，修復任何已識別漏洞的成本更低。SDLC 越晚，可能需要修復的代碼越多，可用于修復的時間就越少。
• 漏洞覆蓋率：DAST 解決方案能夠識別 SAST 解決方案無法識別的運行時漏洞和配置錯誤，因為代碼在 SAST 分析期間未運行。
• 漏洞位置：SAST 解決方案掃描源代碼，因此它們確切地知道應用程序中漏洞所在的位置。DAST 只知道存在漏洞，但不能指向特定的代碼行。
• 誤報檢測：DAST 與應用程序交互，使其能夠確定潛在漏洞是否確實影響了應用程序的功能。SAST 僅基于應用程序模型工作，誤報率較高。

使用 DAST 提高應用程序安全性

強大的應用程序安全實踐對于保護基于云的工作負載免受利用至關重要。DAST 提供了檢測范圍廣泛的漏洞的能力，尤其是在與 SAST 結合使用時。通過在漏洞被攻擊者利用之前識別漏洞，SAST 和 DAST 顯著降低了補救成本及其對組織及其客戶的潛在影響。