Co je IAST (Interaktivní testování bezpečnosti aplikací)?
Interaktivní testování bezpečnosti aplikací (IAST) je metoda, která kombinuje SAST (Statické testování bezpečnosti aplikací) a DAST (Dynamické testování bezpečnosti aplikací), aby efektivněji nalezla zranitelnosti aplikací.
Charakteristiky IAST zahrnují:
- Nástroje IAST fungují přidáním senzorů nebo monitorovacích komponentů do aplikace během jejího běhu. Tyto nástroje sledují, jak se aplikace chová během testování, ať už jsou testy automatizované nebo prováděné lidmi. Tento přístup umožňuje IAST kontrolovat provádění kódu, uživatelské vstupy a jak aplikace zpracovává data v reálném čase.
- IAST automaticky neskenuje celý kód; jeho pokrytí je určeno rozsahem aplikace, který je během testů využíván. Čím rozsáhlejší je testovací aktivita, tím hlubší je pokrytí zranitelností.
- IAST je obvykle nasazován v prostředích QA nebo staging, kde jsou prováděny automatizované nebo manuální funkční testy.
Proč je IAST důležitý v kybernetické bezpečnosti
SAST analyzuje zdrojový kód, bytecode nebo binární soubory bez spuštění aplikace a je velmi účinný při odhalování chyb v kódování, ale může produkovat falešně pozitivní výsledky a přehlédnout problémy specifické pro běhové prostředí.
DAST testuje aplikace zvenčí během jejich běhu a může odhalit problémy, které se objeví pouze za běhu, ale postrádá hluboký vhled do vnitřní logiky nebo struktury kódu. IAST překonává tento rozdíl kombinací silných stránek těchto technik a poskytuje:
- Hlubší vhled do zdrojů a cest zranitelností.
- Zlepšenou přesnost detekce ve srovnání se samotným SAST nebo DAST.
- Snížení falešně pozitivních výsledků korelací běhové aktivity s analýzou kódu.
Jak IAST funguje
- Instrumentace: IAST používá instrumentaci, což znamená, že senzory nebo monitorovací kód jsou vloženy do aplikace (často v prostředí QA nebo staging), aby pozorovaly její chování během testování.
- Monitorování: Sleduje tok dat, uživatelský vstup a chování kódu v reálném čase, zatímco je aplikace testována nebo manuálně ovládána.
- Detekce: Označuje zranitelnosti, jako je nezabezpečená konfigurace, nevyčištěné toky dat nebo rizika injekce.
- Reportování: Vývojářům jsou poskytnuty akční nálezy a pokyny k nápravě, aby mohli řešit zjištěné problémy.
Příklad
Během funkčního testování interaguje tým QA s přihlašovacím formulářem. Nástroj IAST detekuje, že uživatelský vstup proudí do databázového dotazu bez vyčištění, což naznačuje potenciální riziko SQL injekce. Tým obdrží zprávu o zranitelnosti a akční kroky k opravě bezpečnostních problémů.
Související termíny
- SAST (Statické testování bezpečnosti aplikací)
- DAST (Dynamické testování bezpečnosti aplikací)
- SCA (Analýza složení softwaru)
- Testování bezpečnosti aplikací
- ASPM (Řízení bezpečnostního postavení aplikací)