SAST vs DAST vs IAST: Security test for complementarities of the three brothers, not substitution

The three most common abbreviations in the application security tests are SAST, DAST, IAST. كان رد فعل العديد من الناس الأول هو " اختيار واحد من أقوى " ، لكنه كان اقتراحا نفاقيا - الإخوة الثلاثة لم يتنافسوا، ولكن نظروا إلى نفس المسألة من منظورات مختلفة. الخيار لا يعتمد على من هو أكثر تقدماً، لكن على المرحلة التي أنت فيها في دورة حياة البرمجيات، أي نوع من الثغرة تريد أن تجدها وكم يمكنك تحملها.

أولا - التعاريف المتعلقة بالإحالة الأولى

• SAST (static application security test)منظمات أخرىلا تدير البرنامجالذي تحته شفرة المصدر المسحية/الرمز الهضمي يجد ثغرة تعود للصندوق الأبيض
• DASTمنظمات أخرىبرنامج تشغيلأما طلبات الإطلاق الخارجية، فالهجمات المحاكاة هي " صناديق سوداء " ولا يلزم أي رمز للمصدر.
• IAST (Interactive Application Safety Test)منظمات أخرىتشغيل البرنامج من الداخلPlug-in (agent), combined with flow and code context, belong to the Grey Box.

مفتاح فهم هؤلاء الثلاثة هو أن كل واحد منهم يجيب على أسئلة مختلفة: DAST يَسْألُ، "هَلّ بالإمكان أَنْ نَعْبرُ حقاً متى يَرْكضُ؟ " في هذه العملية التي تتدفق البيانات إلى نقطة الخطر

SAST: Strangling the problem at the code writing stage

وتحلل شركة SAST بصورة مباشرة رمز المصدر (أو تجمع المنتجات الوسيطة) ولا تنفذ البرنامج. وتتمثل الميزة في أن تكون قادرة على اكتشاف المشاكل في مرحلة مبكرة، أو حتى عندما تقدم المدونة، لتحديد مواقع وثائق محددة وأرقام خطية، مع انخفاض تكاليف الإصلاح. إنه يغطّي "الكوديس" يُمكن مسحها ولا يعتمد على بيئة الزمن الجارية

قصير: معدل الخطأ مرتفع عادة لأنه لا يحدد ما إذا كان هناك عدد معين من الرموز التي ستنشأ في الأعمال التجارية الحقيقية؛ أما المشاكل التي لا تتعرض لها إلا عند تشغيلها (مثل أخطاء التشكيل، وتجاوزات الضمان، وسلسلة المكالمات الفعلية للاعتماد على المكتبة) فلا ينظر إليها تماما؛ ورمز المصدر ضروري، والعنصر الخاص بالأطراف الثالثة من المصادر المغلقة لا يعمل.

السيناريو المثالي: أغلقت أبواب تقديم رموز خط السير الذاتية لمنع الحقن المرئي، ومفتاح الترميز الصلب، ومهمة المخاطر في العمود الفقري.

التحقق "هل يعمل حقاً؟"

وتستخدم الوكالة الهدف كصندوق أسود لإرسال طلبات من الخارج، وبناء حمولات هجومية، ومراقبة الاستجابة. أعظم قيمة هي...قريب من هجوم حقيقي- وعثر على مشكلة " الوصول الحقيقي إلى التشغيل " ، مع انخفاض الإبلاغ نسبيا. ولا يلزم وجود رمز للمصدر، بحيث يمكن أيضاً تغطية مكونات الأطراف الثالثة.

قصيروكثيراً ما لا يكون الكشف عن الاكتشاف المتأخر وتكلفة التصليح كبيراً إلا بعد نشره؛ فالتغطية تقتصر على الزواحف وطرق الاختبار التي يمكن الوصول إليها على سبيل المثال، دون الكشف عن نقاط وظيفية غير قابلة للكشف؛ ومن الصعب تحديد موقع رمز المصدر تحديداً، وكثيراً ما تكون التنمية والإبلاغ معروفة فقط " التي تثير مشكلة " ؛ وتكاليف التشكيل عالية بالنسبة للسيناريوهات التي تتطلب عمليات تجارية متعددة الخطوات.

السيناريو المثالي: التطهير الأمني قبل الوصول إلى الإنترنت، والمسح الدوري للبيئات المنشورة.

IV. IAST: Run-time plugs, balancing context with real data flows

كما تلاحظ الرابطة تنفيذ الشفرة والتدفق الخارجي عند إدارة البرنامج عن طريق زرع نملة في التطبيق. ويمكنها أن ترى كيف تأتي الطلبات، وكيف تتدفق البيانات إلى الشفرة، حتى يمكن تقديمها.خذ الدليل الكامل للنزلانها عادة أقل من SAST وهي دقيقة.

قصير(ب) الحاجة إلى القدرة على نشر المسبارات في البيئة المستهدفة (بالاكتراث بالشواغل المتعلقة ببيئة الإنتاج)؛ والاعتماد على التغطية الاختبارية، التي لا يمكن العثور عليها دون تنفيذ المدونة، التي كثيرا ما تكون مرتبطة بالاختبارات الوظيفية/المعتادة؛ والاختلافات في اللغة والدعم الإطاري؛ وبعض تكاليف الأداء.

السيناريو المثالي: إدارة بيئة الاختبار بالاقتران بالاختبارات الآلية، من أجل التحقق من الأداء الوظيفي وتزامن الاستنتاجات المتعلقة بسلامة النواتج.

خمسة، ثلاثة ضد واحد

الأبعاد	SAST	DAST	IAST
موضوع الاختبار	المصدر/المصدر (لا يعمل)	الهدف النشط (الخارجي)	تطبيقات التشغيل (المقابر الداخلية)
المنظور	الإطار الأبيض	الصندوق الأسود	Grey Box
وقت التدخل	مرحلة الترميز/الطلب في أقرب وقت	بعد النشر	الاختبار/الوقت
رمز المصدر	نعم	لا حاجة.	الاحتياج (يُمكن تأطيره)
المستوى المبلغ عنه	عالية	منخفض	منخفض
الدقة	للملف/الخط	To URL/ Interface	لدعوة إن/ دياتا ستريام
التبعية المفرطة	Limited (انظر الجزء المتعلق برمز المصدر)	تجاوز التعرض أثناء الركض	Limited by execution path
مسرح نموذجي	CI Code Door Ban	تحقق وتقبل قبل الذهاب إلى الإنترنت	مقترنة بالاختبار الآلي

سادسا - لماذا التكامل بدلا من الإحلال

إذا جمعت الثلاثة معاً، سيجدون مناطقهم الأعمى مكملة:

• وتنظر الرابطة إلى الرمز ولكنها لا تعرف ما إذا كان سيُطلق؛ وتدرك إدارة الشؤون الإدارية ما إذا كان يمكن إطلاقه، ولكنها لا تعرف أي خط المشكلة؛ وكلتاهما، ولكنهما يتطلبان تنفيذ القانون.
• وتغطي الرابطة في وقت مبكر وواسع وصوت عال؛ وتعاني الدائرة من ضوضاء صغيرة ولكن التدخل في وقت متأخر، والتغطية الضيقة؛ وتتمتع الوكالة الدولية للطاقة الذرية بقدر كبير من الدقة، ولكنها يمكن أن تتدخل وتدير بشكل كاف.
• مجرد الذهاب إلى SAST، التي هي عرضة لـ " مجموعة من الأشرطة الحمراء " ؛ والذهاب إلى DAST، حيث تكون الثغرة في كثير من الأحيان معرضة للخطر على الخط؛ والذهاب إلى IAST، حيث يكون الطريق الذي لم يتم التوصل إليه أعمى.

والإجابة على الواقع ليست واحدة أو اثنتين، بل هي نهج على مراحل: الاستخدام المبكر لمحطة SAST لتشويش نمط واضح من الطعم والخطر، ومرحلة الاختبار من المعهد الدولي للتصنيف والتصنيف والتصنيف والتصنيف من أجل التحقق من صحتها بدقة مع الوكالة الدولية للطاقة الذرية بالاقتران مع التشغيل الآلي، والاستخدام العالي والتنازلي لل DAST لقبول خارجي من منظور المعتدي. وتشكل ثلاث خرافات حلقة مغلقة من اختبار أمن التطبيقات دون وجود ثغرات كبيرة.

سابعا - المسائل العملية المتعلقة بالملكية

1. Misreporting who deal with it

في كلتا الحالتين، لا أحد يصلح التقرير، لا أحد يفعل. هناك عملية ترايج واضحة: من يرى، كم من الوقت لإغلاق، كيف علامة "تقبل الخطر" وعلى وجه الخصوص، تحتاج الرابطة إلى إدارة خط الأساس، وإلا فإن تركة التاريخ ستغرق مشاكل جديدة.

التغطية أكثر أهمية من العلامات التجارية للأدوات

The ability of IAST to discover depends directly on how many codes are covered by the test; DAST depends on how many interfaces are reached by reptiles. ومن الأهم قياس " معدل الكشف " قبل الدخول إلى الإنترنت بدلا من استبدال أداة أكثر تكلفة.

3 - عدم معاملة اختبارات السلامة على أنها اختبارات لمرة واحدة خذها

وينبغي إدراج اختبارات السلامة في عملية مستمرة من عمليات البحث والتطوير، بدلاً من أن تكون مركزية قبل الوصول إلى الإنترنت. CI يُديرُ SAST، يُختبرُ البيئةَ IAST، بانتظام يَعمَلُ DAST للإنتاج، لذا هو لا يَجِبُ أَنْ يَعتمدَ على اللحمِ البشريِ لإنقاذ النارِ.

4 - التركيز على أوجه التآزر بين الأدوات

The ideal state is that three types of results can be grouped into the same view: the same gap, SAST gives code location, IAST gives data stream evidence, and DAST validates availability. إنها تساوي أكثر بكثير من الجزر الثلاث التي مزقتها الحرب

ثامنا - قائمة بالقرارات

• نعممرحلة تقديم التقاريرفقط أوقفوا الثغرة الواضحة على إس إس إس إس إس إس تي، ركزوا على إغلاق الأبواب و خطوط الأساس.
• للتحققهل النظام المنتشر قادر على الهجوم؟ • Up with DAST, focusing on coverage and login formation.
• للحصول على استنتاجات أمنية.ناتج عن اختبار آليو حددوا موقع "أيست" بالضبط
• ولا يمكن استخدام الموارد المحدودة إلا كأولوية أولى بالنسبة لنظام الأفضليات المعمم لإنشاء خط قاعي، ثم استكمال الوكالة الدولية للطاقة الذرية/المؤسسة الإنمائية.
• البحث عن حل دائم واحد يناسب الجميع، ليس له وجود، ولكن طريقة التنظيم والعمل هي الإجابة.

ومن الممكن أن يكون نظام " ساست " عمليا، و " إيست " محددا - مجتمعة صورة كاملة.