Hvad er DAST (Dynamic Application Security Testing)?

Dynamic application security testing, eller DAST, er en metode til at kontrollere en applikations sikkerhed, mens den kører. I modsætning til SAST, som ser på kildekoden, tester DAST sikkerheden ved at simulere reelle angreb som SQL Injection og Cross-Site Scripting i et live miljø.

DAST omtales ofte som Black Box Testing, da det udfører en sikkerhedstest udefra.

Hvorfor DAST er vigtigt i cybersikkerhed

Nogle sikkerhedsproblemer opstår kun, når applikationen er live, især problemer knyttet til runtime, adfærd eller brugerbekræftelse. DAST hjælper organisationer med at:

• Opdage sikkerhedsproblemer, der overses af SAST-værktøjet.
• Evaluere applikationen i virkelige omstændigheder, inklusive front-end og API.
• Styrke applikationssikkerheden mod webapplikationsangreb.

Hvordan DAST fungerer

• Kør applikationen i test- eller staging-miljøet.
• Send skadelig eller uventet input (som udformede URL’er eller payloads)
• Analyser applikationsresponsen for at opdage sårbarheder.
• Producer rapporter med forslag til afhjælpning (i Plexicus, endnu bedre, det automatiserer afhjælpning)

Almindelige sårbarheder opdaget af DAST

• SQL Injection: angribere indsætter skadelig SQL-kode i databaseforespørgsler
• Cross-Site Scripting (XSS): skadelige scripts injiceres i websites, der eksekveres i brugernes browsere.
• Usikre serverkonfigurationer
• Brudt autentifikation eller sessionstyring
• Eksponering af følsomme data i fejlmeddelelser

Fordele ved DAST

• dækker sikkerhedsfejl, der overses af SAST-værktøjer
• Simulerer virkelige angreb.
• fungerer uden adgang til kildekoden
• understøtter overholdelse som PCI DSS, HIPAA og andre rammer.

Eksempel

I en DAST-scanning finder værktøjet et sikkerhedsproblem i en loginformular, der ikke korrekt kontrollerer, hvad brugerne indtaster. Når værktøjet indtaster en specielt designet SQL-kommando, viser det, at hjemmesiden kan angribes gennem SQL-injektion. Denne opdagelse gør det muligt for udviklere at rette sårbarheden, før applikationen går i produktion.

Relaterede Termer

• SAST (Statisk Applikationssikkerhedstest)
• IAST (Interaktiv Applikationssikkerhedstest)
• SCA (Softwarekompositionsanalyse)
• OWASP Top 10
• Applikationssikkerhedstest