DAST (Kiểm Tra Bảo Mật Ứng Dụng Động) là gì?
Kiểm tra bảo mật ứng dụng động, hay DAST, là một cách để kiểm tra bảo mật của ứng dụng khi nó đang chạy. Không giống như SAST, vốn xem xét mã nguồn, DAST kiểm tra bảo mật bằng cách mô phỏng các cuộc tấn công thực tế như SQL Injection và Cross-Site Scripting trong môi trường trực tiếp.
DAST thường được gọi là Kiểm Tra Hộp Đen vì nó thực hiện kiểm tra bảo mật từ bên ngoài.
Tại sao DAST quan trọng trong An ninh mạng
Một số vấn đề bảo mật chỉ xuất hiện khi ứng dụng đang chạy, đặc biệt là các vấn đề liên quan đến thời gian chạy, hành vi, hoặc xác thực người dùng. DAST giúp các tổ chức:
- Phát hiện các vấn đề bảo mật mà công cụ SAST bỏ sót.
- Đánh giá ứng dụng trong các tình huống thực tế, bao gồm cả giao diện người dùng và API.
- Tăng cường bảo mật ứng dụng chống lại các cuộc tấn công ứng dụng web.
Cách DAST Hoạt Động
- Chạy ứng dụng trong môi trường kiểm thử hoặc dàn dựng.
- Gửi đầu vào độc hại hoặc không mong đợi (như các URL hoặc payloads được tạo ra)
- Phân tích phản hồi của ứng dụng để phát hiện các lỗ hổng.
- Tạo báo cáo với các đề xuất khắc phục (trong Plexicus, thậm chí tốt hơn, nó tự động hóa khắc phục)
Các Lỗ Hổng Thường Được Phát Hiện Bởi DAST
- SQL Injection: kẻ tấn công chèn mã SQL độc hại vào các truy vấn cơ sở dữ liệu
- Cross-Site Scripting (XSS): các script độc hại được chèn vào các trang web và thực thi trong trình duyệt của người dùng.
- Cấu hình máy chủ không an toàn
- Xác thực hoặc quản lý phiên bị hỏng
- Tiết lộ dữ liệu nhạy cảm trong thông báo lỗi
Lợi Ích của DAST
- bao phủ các lỗ hổng bảo mật mà các công cụ SAST bỏ sót
- Mô phỏng tấn công thực tế.
- hoạt động mà không cần truy cập mã nguồn
- hỗ trợ tuân thủ như PCI DSS, HIPAA, và các khung khác.
Ví dụ
Trong một lần quét DAST, công cụ phát hiện một vấn đề bảo mật trong biểu mẫu đăng nhập không kiểm tra đúng những gì người dùng nhập vào. Khi công cụ nhập một lệnh SQL được thiết kế đặc biệt, nó cho thấy rằng trang web có thể bị tấn công thông qua SQL injection. Phát hiện này cho phép các nhà phát triển sửa lỗi bảo mật trước khi ứng dụng được đưa vào sản xuất.
Thuật ngữ liên quan
- SAST (Kiểm tra bảo mật ứng dụng tĩnh)
- IAST (Kiểm tra bảo mật ứng dụng tương tác)
- SCA (Phân tích thành phần phần mềm)
- OWASP Top 10
- Kiểm tra bảo mật ứng dụng