Co to jest IAST (Interactive Application Security Testing)?
Interactive Application Security Testing (IAST) to metoda, która łączy SAST (Static Application Security Testing) i DAST (Dynamic Application Security Testing) w celu skuteczniejszego wykrywania podatności aplikacji.
Charakterystyka IAST obejmuje:
- Narzędzia IAST działają poprzez dodawanie sensorów lub komponentów monitorujących wewnątrz aplikacji podczas jej działania. Te narzędzia obserwują, jak aplikacja zachowuje się podczas testów, niezależnie od tego, czy testy są zautomatyzowane, czy wykonywane przez ludzi. Takie podejście pozwala IAST sprawdzać wykonywanie kodu, dane wejściowe użytkownika i sposób, w jaki aplikacja przetwarza dane w czasie rzeczywistym.
- IAST nie skanuje automatycznie całej bazy kodu; jego zasięg jest określany przez zakres aplikacji testowanej podczas testów. Im bardziej rozległa jest aktywność testowa, tym głębsze pokrycie podatności.
- IAST jest zazwyczaj wdrażany w środowiskach QA lub staging, gdzie przeprowadzane są zautomatyzowane lub ręczne testy funkcjonalne.
Dlaczego IAST ma znaczenie w cyberbezpieczeństwie
SAST analizuje kod źródłowy, kod bajtowy lub binaria bez uruchamiania aplikacji i jest bardzo skuteczny w wykrywaniu błędów w kodzie, ale może generować fałszywe alarmy i pomijać problemy specyficzne dla czasu wykonania.
DAST testuje aplikacje z zewnątrz podczas ich działania i może ujawniać problemy, które pojawiają się tylko w czasie wykonania, ale brakuje mu głębokiej widoczności wewnętrznej logiki lub struktury kodu. IAST wypełnia tę lukę, łącząc mocne strony tych technik, zapewniając:
- Głębsze wglądy w źródła i ścieżki podatności.
- Zwiększoną dokładność wykrywania w porównaniu do samego SAST lub DAST.
- Redukcję fałszywych alarmów poprzez korelację aktywności w czasie wykonania z analizą kodu.
Jak działa IAST
- Instrumentacja: IAST wykorzystuje instrumentację, co oznacza, że czujniki lub kod monitorujący są osadzane w aplikacji (często w środowisku QA lub staging), aby obserwować jej zachowanie podczas testowania.
- Monitorowanie: Obserwuje przepływ danych, dane wejściowe użytkownika i zachowanie kodu w czasie rzeczywistym, gdy aplikacja jest testowana lub obsługiwana ręcznie.
- Wykrywanie: Oznacza podatności takie jak niebezpieczna konfiguracja, niesanitowane przepływy danych lub ryzyko wstrzyknięcia.
- Raportowanie: Dostarczane są deweloperom użyteczne wyniki i wskazówki dotyczące naprawy wykrytych problemów.
Przykład
Podczas testów funkcjonalnych zespół QA wchodzi w interakcję z formularzem logowania. Narzędzie IAST wykrywa, że dane wejściowe użytkownika przepływają do zapytania do bazy danych bez sanitacji, co wskazuje na potencjalne ryzyko wstrzyknięcia SQL. Zespół otrzymuje raport o podatności i możliwe do podjęcia kroki w celu naprawy problemów z bezpieczeństwem.
Powiązane terminy
- SAST (Statyczne Testowanie Bezpieczeństwa Aplikacji)
- DAST (Dynamiczne Testowanie Bezpieczeństwa Aplikacji)
- SCA (Analiza Składu Oprogramowania)
- Testowanie Bezpieczeństwa Aplikacji
- ASPM (Zarządzanie Postawą Bezpieczeństwa Aplikacji)