什么是IAST（交互式应用程序安全测试）？
交互式应用程序安全测试（IAST）是一种将SAST（静态应用程序安全测试）和DAST（动态应用程序安全测试）结合起来，以更有效地发现应用程序漏洞的方法。
IAST的特点包括：
- IAST工具通过在应用程序运行时添加传感器或监控组件来工作。这些工具观察应用程序在测试期间的行为，无论测试是自动化的还是人工进行的。这种方法使IAST能够实时检查代码执行、用户输入以及应用程序如何处理数据。
- IAST不会自动扫描整个代码库；其覆盖范围由测试期间应用程序的广度决定。测试活动越广泛，漏洞覆盖越深入。
- IAST通常部署在运行自动化或手动功能测试的QA或预生产环境中。
为什么IAST在网络安全中很重要
SAST 分析源代码、字节码或二进制文件，而无需运行应用程序，并且在发现编码错误方面非常有效，但可能产生误报并遗漏运行时特定的问题。
DAST 在应用程序运行时从外部进行测试，可以暴露仅在运行时出现的问题，但缺乏对内部逻辑或代码结构的深入可见性。IAST 通过结合这些技术的优势来弥合差距，提供：
- 对漏洞来源和路径的更深入见解。
- 与单独使用 SAST 或 DAST 相比，提高检测准确性。
- 通过将运行时活动与代码分析相关联来减少误报。
IAST 如何工作
- 仪器化：IAST 使用仪器化，这意味着传感器或监控代码被嵌入到应用程序中（通常在质量保证或暂存环境中）以观察其在测试期间的行为。
- 监控：它在应用程序通过测试或手动操作进行使用时，实时观察数据流、用户输入和代码行为。
- 检测：它标记出诸如不安全配置、未清理的数据流或注入风险等漏洞。
- 报告：提供可操作的发现和修复指导，帮助开发人员解决检测到的问题。
示例
在功能测试期间，QA 团队与登录表单进行交互。IAST 工具检测到用户输入流入数据库查询而未进行清理，表明存在潜在的 SQL 注入 风险。团队收到漏洞报告和可操作的步骤以修复安全问题。
相关术语
- SAST（静态应用程序安全测试）
- DAST（动态应用程序安全测试）
- SCA（软件组成分析）
- 应用程序安全测试
- ASPM（应用程序安全态势管理）