Hva er DAST (Dynamisk Applikasjonssikkerhetstesting)?

Dynamisk applikasjonssikkerhetstesting, eller DAST, er en metode for å sjekke en applikasjons sikkerhet mens den kjører. I motsetning til SAST, som ser på kildekoden, tester DAST sikkerheten ved å simulere reelle angrep som SQL-injeksjon og Cross-Site Scripting i et levende miljø.

DAST blir ofte referert til som Black Box Testing siden det kjører en sikkerhetstest fra utsiden.

Hvorfor DAST er viktig i cybersikkerhet

Noen sikkerhetsproblemer dukker bare opp når applikasjonen er live, spesielt problemer knyttet til kjøretid, atferd eller brukervalidering. DAST hjelper organisasjoner med å:

• Oppdage sikkerhetsproblemer som blir oversett av SAST-verktøyet.
• Evaluere applikasjonen i virkelige omstendigheter, inkludert front-end og API.
• Styrke applikasjonssikkerheten mot angrep på nettapplikasjoner.

Hvordan DAST fungerer

• Kjør applikasjonen i test- eller staging-miljøet.
• Send skadelig eller uventet input (som utformede URL-er eller nyttelaster)
• Analyser applikasjonsresponsen for å oppdage sårbarheter.
• Produser rapporter med forslag til utbedring (i Plexicus, enda bedre, det automatiserer utbedring)

Vanlige sårbarheter oppdaget av DAST

• SQL Injection: angripere setter inn skadelig SQL-kode i databaseforespørsler
• Cross-Site Scripting (XSS): skadelige skript injiseres i nettsteder som utføres i brukernes nettlesere.
• Usikre serverkonfigurasjoner
• Brutt autentisering eller sesjonsstyring
• Eksponering av sensitiv data i feilmeldinger

Fordeler med DAST

• dekker sikkerhetsfeil som SAST-verktøy går glipp av
• Simulerer reelle angrep.
• fungerer uten tilgang til kildekoden
• støtter samsvar som PCI DSS, HIPAA og andre rammeverk.

Eksempel

I en DAST-skanning finner verktøyet et sikkerhetsproblem i et innloggingsskjema som ikke sjekker ordentlig hva brukerne skriver inn. Når verktøyet legger inn en spesialdesignet SQL-kommando, viser det at nettstedet kan angripes gjennom SQL-injeksjon. Denne oppdagelsen gjør det mulig for utviklere å fikse sårbarheten før applikasjonen går i produksjon.

Relaterte Termer

• SAST (Statisk Applikasjonssikkerhetstesting)
• IAST (Interaktiv Applikasjonssikkerhetstesting)
• SCA (Programvaresammensetningsanalyse)
• OWASP Topp 10
• Applikasjonssikkerhetstesting