Qu’est-ce que l’IAST (Interactive Application Security Testing) ?

L’Interactive Application Security Testing (IAST) est une méthode qui combine le SAST (Static Application Security Testing) et le DAST (Dynamic Application Security Testing) pour identifier plus efficacement les vulnérabilités des applications.

Les caractéristiques de l’IAST incluent :

• Les outils IAST fonctionnent en ajoutant des capteurs ou des composants de surveillance à l’intérieur de l’application pendant son exécution. Ces outils observent le comportement de l’application pendant les tests, qu’ils soient automatisés ou réalisés par des personnes. Cette approche permet à l’IAST de vérifier l’exécution du code, les entrées utilisateur et la manière dont l’application gère les données en temps réel.
• L’IAST ne scanne pas automatiquement l’ensemble du code source ; sa couverture est déterminée par l’étendue de l’application testée pendant les essais. Plus l’activité de test est étendue, plus la couverture des vulnérabilités est approfondie.
• L’IAST est généralement déployé dans des environnements de QA ou de mise en scène où des tests fonctionnels automatisés ou manuels sont effectués.

Pourquoi l’IAST est important en cybersécurité

SAST analyse le code source, le bytecode ou les binaires sans exécuter l’application et est très efficace pour découvrir les erreurs de codage, mais il peut produire des faux positifs et manquer des problèmes spécifiques à l’exécution.

DAST teste les applications de l’extérieur pendant qu’elles fonctionnent et peut révéler des problèmes qui n’apparaissent qu’à l’exécution, mais manque de visibilité approfondie sur la logique interne ou la structure du code. IAST comble le fossé en combinant les forces de ces techniques, offrant :

• Des aperçus plus approfondis des sources et des chemins de vulnérabilité.
• Une précision de détection améliorée par rapport à SAST ou DAST seuls.
• Réduction des faux positifs en corrélant l’activité d’exécution avec l’analyse du code.

Comment fonctionne l’IAST

• Instrumentation : L’IAST utilise l’instrumentation, ce qui signifie que des capteurs ou du code de surveillance sont intégrés dans l’application (souvent dans un environnement de QA ou de pré-production) pour observer son comportement pendant les tests.
• Surveillance : Il observe le flux de données, les entrées utilisateur et le comportement du code en temps réel lorsque l’application est testée par des actions manuelles ou automatisées.
• Détection : Il signale des vulnérabilités telles que des configurations non sécurisées, des flux de données non assainis ou des risques d’injection.
• Rapport : Des résultats exploitables et des conseils de remédiation sont fournis aux développeurs pour résoudre les problèmes détectés.

Exemple

Pendant les tests fonctionnels, l’équipe QA interagit avec le formulaire de connexion. L’outil IAST détecte que les entrées utilisateur sont intégrées dans une requête de base de données sans assainissement, indiquant un risque potentiel de injection SQL. L’équipe reçoit un rapport de vulnérabilité et des étapes concrètes pour corriger les problèmes de sécurité.

Termes connexes

• SAST (Test de sécurité des applications statiques)
• DAST (Test de sécurité des applications dynamiques)
• SCA (Analyse de la composition logicielle)
• Test de sécurité des applications
• ASPM (Gestion de la posture de sécurité des applications)