什么是 IAST（交互式应用程序安全测试）？
交互式应用程序安全测试（IAST）是一种将静态应用程序安全测试（SAST）和动态应用程序安全测试（DAST）结合起来，以更有效地发现应用程序漏洞的方法。
IAST 的特点包括：
- IAST 工具通过在应用程序运行时添加传感器或监控组件来工作。这些工具观察应用程序在测试期间的行为，无论测试是自动化的还是由人进行的。这种方法使 IAST 能够实时检查代码执行、用户输入以及应用程序如何处理数据。
- IAST 不会自动扫描整个代码库；其覆盖范围由测试期间应用程序的广度决定。测试活动越广泛，漏洞覆盖越深入。
- IAST 通常部署在运行自动或手动功能测试的 QA 或暂存环境中。
IAST 在网络安全中的重要性
SAST 分析源代码、字节码或二进制文件而不运行应用程序，并且在发现编码错误方面非常有效，但它可能会产生误报并错过运行时特定的问题。
DAST测试应用程序时从外部进行测试，可以暴露仅在运行时出现的问题，但缺乏对内部逻辑或代码结构的深入可见性。IAST通过结合这些技术的优势来弥补这一差距，提供：
- 对漏洞来源和路径的更深入洞察。
- 与单独使用SAST或DAST相比，检测准确性得到提高。
- 通过将运行时活动与代码分析相关联来减少误报。
IAST的工作原理
- 仪器化：IAST使用仪器化技术，即在应用程序中嵌入传感器或监控代码（通常在QA或预发布环境中），以观察其在测试期间的行为。
- 监控：它在应用程序通过测试或手动操作时实时观察数据流、用户输入和代码行为。
- 检测：它标记诸如不安全配置、未净化的数据流或注入风险等漏洞。
- 报告：向开发人员提供可操作的发现和修复指导，以解决检测到的问题。
示例
在功能测试期间，QA团队与登录表单进行交互。IAST工具检测到用户输入流入数据库查询而未进行净化，表明存在潜在的SQL注入风险。团队收到漏洞报告和可操作的步骤以修复安全问题。
相关术语
常见问题解答 (FAQ)
SAST、DAST 和 IAST 之间的主要区别是什么？
SAST 分析静态源代码，而 DAST 从外部（黑盒）测试正在运行的应用程序，IAST 则在应用程序内部工作。IAST 在代码内部放置代理或传感器，以实时分析执行情况，有效地结合了 SAST 的代码级可见性和 DAST 的运行时分析。
IAST 如何减少安全测试中的误报？
IAST 通过将代码分析与实际运行时行为相关联来减少误报。与可能标记从未实际执行的理论漏洞的 SAST 不同，IAST 验证特定代码行在实际应用程序使用过程中是否不安全地触发和处理。
IAST 通常部署在 SDLC 的哪个阶段？
IAST 在 质量保证 (QA) 或 暂存环境 中部署时最为有效。因为它依赖功能测试来触发代码执行，所以在应用程序进入生产环境之前，它可以与自动化测试套件或手动测试过程无缝运行。
IAST 是否自动扫描整个代码库？
不。与读取每一行代码的静态分析工具不同，IAST 的覆盖范围取决于功能测试的广度。它仅分析在测试阶段被执行（运行）的应用程序部分。因此，全面的功能测试会带来全面的安全覆盖。
IAST 可以检测哪些类型的漏洞？
IAST 在检测运行时漏洞方面非常有效，例如 SQL 注入、跨站脚本攻击 (XSS)、不安全的配置和未净化的数据流。它通过监控用户输入如何在应用程序的内部逻辑和数据库查询中传递来识别这些问题。