Vad är DAST (Dynamisk applikationssäkerhetstestning)
Dynamisk applikationssäkerhetstestning, eller DAST, är ett sätt att kontrollera en applikations säkerhet medan den körs. Till skillnad från SAST, som tittar på källkoden, testar DAST säkerheten genom att simulera verkliga attacker som SQL-injektion och Cross-Site Scripting (XSS) i en live-miljö.
Vad är DAST (Dynamisk applikationssäkerhetstestning)?
Dynamisk applikationssäkerhetstestning, eller DAST, är ett sätt att kontrollera en applikations säkerhet medan den körs. Till skillnad från SAST, som tittar på källkoden, testar DAST säkerheten genom att simulera verkliga attacker som SQL-injektion och Cross-Site Scripting (XSS) i en live-miljö.
DAST kallas ofta för Black Box Testing eftersom det kör ett säkerhetstest från utsidan.
Varför DAST är viktigt inom cybersäkerhet
Vissa säkerhetsproblem uppstår endast när applikationen är live, särskilt problem kopplade till körning, beteende eller användarvalidering. DAST hjälper organisationer att:
- Upptäcka säkerhetsproblem som missas av SAST-verktyget.
- Utvärdera applikationen i verkliga omständigheter, inklusive front-end och API.
- Stärka applikationssäkerheten mot webbapplikationsattacker.
Hur DAST fungerar
- Kör applikationen i test- eller stagingmiljön.
- Skicka skadlig eller oväntad input (som skapade URL eller nyttolaster).
- Analysera applikationens respons för att upptäcka sårbarheter.
- Skapa rapporter med förslag på åtgärder (i Plexicus, ännu bättre, det automatiserar åtgärder).
Vanliga sårbarheter som upptäcks av DAST
- SQL-injektion: angripare infogar skadlig SQL-kod i databasfrågor
- Cross-Site Scripting (XSS): skadliga skript injiceras i webbplatser som körs i användarnas webbläsare.
- Osäkra serverkonfigurationer
- Bruten autentisering eller sessionshantering
- Exponering av känslig data i felmeddelanden
Fördelar med DAST
- täcker säkerhetsbrister som missas av SAST-verktyg
- Simulerar verkliga attacker.
- fungerar utan åtkomst till källkoden
- stödjer efterlevnad som PCI DSS, HIPAA och andra ramverk.
Exempel
I en DAST-skanning hittar verktyget ett säkerhetsproblem i ett inloggningsformulär som inte korrekt kontrollerar vad användarna skriver in. När verktyget anger ett speciellt utformat SQL-kommando visar det att webbplatsen kan attackeras genom SQL-injektion. Denna upptäckt gör det möjligt för utvecklare att åtgärda sårbarheten innan applikationen går i produktion.
