DAST (Dinamik Uygulama Güvenlik Testi) Nedir?
Dinamik uygulama güvenlik testi veya DAST, bir uygulamanın çalışırken güvenliğini kontrol etmenin bir yoludur. SAST’tan farklı olarak, kaynak kodu incelemek yerine, DAST güvenliği canlı bir ortamda SQL Enjeksiyonu ve Siteler Arası Komut Dosyası Çalıştırma gibi gerçek saldırıları simüle ederek test eder.
DAST genellikle Kara Kutu Testi olarak adlandırılır çünkü dışarıdan bir güvenlik testi yürütür.
Siber Güvenlikte DAST Neden Önemlidir
Bazı güvenlik sorunları yalnızca canlı olduğunda ortaya çıkar, özellikle çalışma zamanı, davranış veya kullanıcı doğrulaması ile ilgili olanlar. DAST, kuruluşların şunları yapmasına yardımcı olur:
- SAST aracı tarafından gözden kaçırılan güvenlik sorunlarını keşfetmek.
- Uygulamayı ön uç ve API dahil olmak üzere gerçek dünya koşullarında değerlendirmek.
- Web uygulama saldırılarına karşı uygulama güvenliğini güçlendirmek.
DAST Nasıl Çalışır
- Uygulamayı test veya hazırlık ortamında çalıştırın.
- Kötü niyetli veya beklenmedik girdiler gönderin (özel hazırlanmış URL’ler veya yükler gibi)
- Güvenlik açıklarını tespit etmek için uygulama yanıtını analiz edin.
- İyileştirme önerileri ile raporlar oluşturun (Plexicus’ta, daha da iyisi, iyileştirmeyi otomatikleştirir)
DAST Tarafından Tespit Edilen Yaygın Güvenlik Açıkları
- SQL Enjeksiyonu: saldırganlar veritabanı sorgularına kötü niyetli SQL kodu ekler
- Siteler Arası Komut Dosyası Çalıştırma (XSS): kullanıcıların tarayıcılarında çalıştırılan web sitelerine kötü niyetli komut dosyaları enjekte edilir.
- Güvensiz sunucu yapılandırmaları
- Kırık kimlik doğrulama veya oturum yönetimi
- Hata mesajlarında hassas verilerin açığa çıkması
DAST’ın Faydaları
- SAST araçlarının kaçırdığı güvenlik açıklarını kapsar
- Gerçek dünya saldırılarını simüle eder.
- Kaynak koda erişim olmadan çalışır
- PCI DSS, HIPAA ve diğer çerçeveler gibi uyumluluğu destekler.
Örnek
Bir DAST taramasında, araç bir giriş formunda kullanıcıların yazdıklarını düzgün bir şekilde kontrol etmeyen bir güvenlik sorunu bulur. Araç, özel olarak tasarlanmış bir SQL komutu girdiğinde, web sitesinin SQL enjeksiyonu yoluyla saldırıya uğrayabileceğini gösterir. Bu keşif, geliştiricilerin uygulama üretime geçmeden önce güvenlik açığını düzeltmelerini sağlar.
İlgili Terimler
- SAST (Statik Uygulama Güvenliği Testi)
- IAST (Etkileşimli Uygulama Güvenliği Testi)
- SCA (Yazılım Bileşimi Analizi)
- OWASP İlk 10
- Uygulama Güvenliği Testi