什么是 IAST（交互式应用安全测试）？
交互式应用安全测试（IAST）是一种将静态应用安全测试（SAST）和动态应用安全测试（DAST）结合起来的方法，以更有效地发现应用程序漏洞。
IAST 的特点包括：
- IAST 工具通过在应用程序运行时添加传感器或监控组件来工作。这些工具观察应用程序在测试期间的行为，无论是自动化测试还是人工测试。这种方法使 IAST 能够实时检查代码执行、用户输入以及应用程序如何处理数据。
- IAST 不会自动扫描整个代码库；其覆盖范围由测试期间应用程序的广度决定。测试活动越广泛，漏洞覆盖越深入。
- IAST 通常部署在运行自动化或手动功能测试的 QA 或预生产环境中。
IAST 在网络安全中的重要性
SAST 分析源代码、字节码或二进制文件而不运行应用程序，能够有效发现编码错误，但可能产生误报并遗漏运行时特定的问题。
DAST 从外部测试应用程序的运行状态，可以揭示仅在运行时出现的问题，但缺乏对内部逻辑或代码结构的深入可见性。IAST 通过结合这些技术的优势来弥补这一差距，提供：
- 对漏洞来源和路径的更深入洞察。
- 相较于单独使用 SAST 或 DAST 提高了检测准确性。
- 通过将运行时活动与代码分析相关联来减少误报。
IAST 的工作原理
- 插桩：IAST 使用插桩技术，即在应用程序中嵌入传感器或监控代码（通常在 QA 或暂存环境中）以观察其在测试期间的行为。
- 监控：它实时观察数据流、用户输入和代码行为，当应用程序通过测试或手动操作时。
- 检测：它标记出诸如不安全配置、未清理的数据流或注入风险等漏洞。
- 报告：向开发人员提供可操作的发现和修复指导，以解决检测到的问题。
示例
在功能测试期间，QA 团队与登录表单进行交互。IAST 工具检测到用户输入流入数据库查询而未进行清理，指示潜在的SQL 注入风险。团队收到漏洞报告和可操作的步骤以修复安全问题。
相关术语
常见问题解答 (FAQ)
SAST、DAST 和 IAST 之间的主要区别是什么？
SAST 分析静态源代码，而 DAST 从外部（黑盒）测试正在运行的应用程序，IAST 则在应用程序内部工作。IAST 在代码中放置代理或传感器，以实时分析执行情况，有效结合了 SAST 的代码级可见性和 DAST 的运行时分析。
IAST 如何减少安全测试中的误报？
IAST 通过将代码分析与实际运行时行为相关联来减少误报。与可能标记从未实际执行的理论漏洞的 SAST 不同，IAST 验证特定代码行在实际应用程序使用过程中是否被触发并不安全地处理。
IAST 通常部署在 SDLC 的哪个阶段？
IAST 在 质量保证 (QA) 或 暂存环境 中部署时最为有效。因为它依赖功能测试来触发代码执行，所以在应用程序进入生产环境之前，它可以无缝地与自动化测试套件或手动测试过程一起运行。
IAST 会自动扫描整个代码库吗？
不会。与读取每一行代码的静态分析工具不同，IAST 的覆盖范围取决于功能测试的广度。它仅分析在测试阶段被执行（运行）的应用程序部分。因此，全面的功能测试会带来全面的安全覆盖。
IAST 可以检测哪些类型的漏洞？
IAST 在检测运行时漏洞方面非常有效，例如 SQL 注入、跨站脚本攻击 (XSS)、不安全的配置和未清理的数据流。它通过监控用户输入如何在应用程序的内部逻辑和数据库查询中传递来识别这些问题。