Оглавление
Динамическое тестирование безопасности приложений
-
Основы динамического тестирования безопасности приложений (DAST)
- DAST – это процесс тестирования, направленный на выявление уязвимостей в безопасности приложений.
- Тестирование может быть выполнено вручную или с помощью автоматизированных инструментов.
- Ручное тестирование выявляет ошибки бизнес-логики и уязвимости нулевого дня.
- Автоматизированные инструменты DAST сканируют веб-приложения через веб-интерфейс, используя черный ящик.
-
Преимущества и ограничения DAST
- Инструменты DAST обнаруживают уязвимости без доступа к исходному коду.
- Они выполняют сложное сканирование, минимизируя взаимодействие с пользователем.
- Сканеры могут обнаруживать различные типы уязвимостей, включая межсайтовый скриптинг и SQL-инъекции.
- Коммерческие сканеры требуют покупки, в то время как сканеры с открытым исходным кодом обычно бесплатны.
-
Сильные стороны и недостатки DAST
- Сканеры DAST могут обнаруживать уязвимости до выпуска приложений.
- Они имитируют действия злоумышленников, что позволяет реалистично тестировать систему.
- Инструменты DAST не зависят от языка программирования и могут сканировать веб-приложения на движках.
- Однако они не охватывают 100% исходного кода и могут не генерировать полезную нагрузку для всех типов атак.
-
Рекомендации и дополнительные ресурсы
- Для оценки сканеров безопасности веб-приложений можно использовать критерии WASC и NIST.
- В статье также упоминаются проблемы, с которыми сталкиваются автоматизированные оценки безопасности веб-приложений.