SAST vs DAST vs IASST: Security test para sa mga kapupunan ng tatlong kapatid, hindi kahalili

Ang tatlong pinakakaraniwang daglat sa mga pagsubok sa seguridad sa aplikasyon ay SAST, DAST, IAST. Ang unang reaksiyon ng maraming tao ay ang “selekto ang isa sa pinakamalakas na ekwasyon, ngunit ito ay isang mapagpaimbabaw na alok – ang tatlong kapatid ay hindi nakikipagkumpitensya, ngunit itinuring ang parehong isyu mula sa magkaibang perspektibo. Ang pagpili ay depende hindi sa kung sino ang mas masulong, subalit sa yugto na ikaw ay nasa software life cycle, anong uri ng sipit ang nais mong masumpungan at kung gaano karami ang matitiis mo.

MGA PERO SA UNANG REPERSIYA

• SAST (static application security test)Iba Pang OrganiserHuwag patakbuhin ang programa, kung saan ang scanning source code/byte code ay nakatagpo ng isang loophole, na kabilang sa White Box.
• ANG DASTIba Pang OrganiserPagtakbo ng programaAng mga kahilingan para sa external launch, mga tinularang pag-atake ay “black boxific at walang source code na kinakailangan.
• IAST (Interactive Professional Safety Test)Iba Pang OrganiserTumakbo mula sa loob ng programaAng Plug-in (agent), kasama ang daloy at kontekstong kodigo, ay kabilang sa Grey Box.

Ang susi sa pag-unawa sa tatlong ito ay na bawat isa ay sumasagot sa iba't ibang mga tanong: Ang SAST ay nagtatanong, "Saan maaaring magkamali sa kodigo?" ANG DAST ay nagtatanong, "Maaari ba tayong makaraos kapag tumatakbo?" Ang IAST ay nagtatanong, "Sa operasyong ito, aling data stream ang talagang dumadaloy sa punto ng panganib."

SAST: Paglutas sa problema sa pagsulat ng kodigo

Ang SAST ay tuwirang sumusuri sa kodigo ng pinagmulan (o nagtitipon ng panggitnang mga produkto) at hindi nagsasagawa ng programa. Ang bentaha ay upang makita ang mga problema sa maagang yugto, o kahit na kung ang kodigo ay isinumite, upang hanapin ang espesipikong mga dokumento at numero ng linya, na may mababang halaga sa pagkumpuni. Ito ay sumasaklaw sa "mga code ay maaaring tangayin" at hindi nakasalalay sa running time environment.

Maikling Eruplano: Ang bilis ng pagkakamali ay karaniwang mataas dahil hindi nito natitiyak kung ang isang tiyak na bilang ng mga kodigo ay mag-uudyok sa tunay na negosyo; ang mga problema na nalalantad lamang kapag tumatakbo (hal., configuration errors, survence bypasss, aktwal na call chain ng pag-asa sa aklatan) ay hindi lubos na nakikita; ang source code ay kinakailangan at ang third-party closed-source na bahagi ay hindi function.

Karaniwang senaryo: Ang mga CI flowing line code supply ay sarado upang maiwasan ang nakikitang injection, hard-coding key, mapanganib na tungkulin ay tumatawag sa gulugod.

DAST: Verning "Talagang gumagana ito?"

GINAGAMIT ng DAST ang target bilang isang itim na kahon upang magpadala ng mga kahilingan mula sa labas, gumawa ng mga sahod sa pagsalakay at magmasid sa pagtugon. Ang pinakamahalaga rito ay...Malapit sa tunay na pagsalakay.— Nasumpungan ang problema ng paggamit ng cireal sa runnizer, na may mababang underreporting. Walang source code na kinakailangan, kaya ang mga ikatlong-bahaging bahagi, configuration layer ay maaari ring takpan.

Maikling EruplanoKadalasang hanggang sa pag-iisyu lamang na mataas ang pagkatukoy ng huling pag-aanalisa at ang halaga ng pagkukumpuni; ang pagsaklaw ay limitado sa mga reptilya at mga ruta ng pagsubok na maaaring maabot sa pamamagitan ng halimbawa, nang hindi natutukoy ang mga hindi-depektibong functional na puntos; mahirap hanapin nang eksakto ang pinagmulang kodigo, at ang pag-unlad at pag-uulat ay kadalasang alam lamang “na ang URL ay problematic perileration; at ang mga gastos sa pagsasaayos ay mataas para sa mga senaryo na nangangailangan ng login, multi-steat business processs.

Karaniwang tagpo: seguridad bago magtungo sa Internet, pana - panahong pag - aaral sa mga kapaligirang nasa kapaligiran.

IV. IAST: Run-time plugs, binabalanse ang konteksto sa tunay na mga daloy ng datos

IATANDAAN din ng IASST ang paglalapat ng code at panlabas na daloy kapag pinapatakbo ang programa sa pamamagitan ng paglalagay ng entidad sa aplikasyon. Makikita nito kung paano pumapasok ang mga kahilingan, at kung paano dumadaloy ang impormasyon sa kodigo, upang maibigay ito.Kunin ang buong katibayan ng inn.Karaniwang mas mababa ito sa SAST at tumpak.

Maikling EruplanoAng pangangailangang makapaglagay ng mga probe sa pinupuntiryang kapaligiran (na nag-aambag sa mga pagkabahala tungkol sa kapaligirang produksiyon); pananalig sa saklaw ng pagsusulit, na hindi matatagpuan kung walang kodigong ipinatutupad, na kadalasang nakatali sa function/automated testing; pagkakaiba ng wika at balangkas na suporta; at ilang mga gastos sa pagsasagawa.

Karaniwang tanawin: tumakbo sa kapaligiran ng pagsubok na may kaugnayan sa awtomatikong pagsubok, kapuwa upang patunayan ang pagiging kapaki - pakinabang at pagtugmain ang mga konklusyong pangkaligtasan sa output.

Lima, tatlo laban sa isa.

Dimensiyon	SAST	ANG DAST	IASTA
Pagsubok	Pinagmulan/bytes (hindi tumatakbo)	Aktibong puntirya (external)	Mga aplikasyon sa operasyon (internal plug)
Pangmalas	White Box	Kahon ng mga Itim	Grey Box
Panahon ng pakikialam	Pinakamaagang yugto ng pagkokodigo/submission	Pagkatapos ng Paglalagay	Pagsubok/Run-time
Kailangan ang source code	Mayroon.	Hindi na kailangan.	(maaaring lagyan ng takip)
Maling Ulat ng Level	Mataas	Mababa	Ibaba
Tamang posisyon	To file/line	Sa URL/Interface	Tawag sa Inn/Data Stream
Depende sa Pagsulat	Limitado (tingnan ang pinagmulang bahagi ng code)	Labis na pagkalantad habang tumatakbo	Limitado sa pamamagitan ng paglalapat ng parusa
Karaniwang eksena	Pagbabawal sa Pintuan ng Kodigong CI	Tingnan at tanggapin bago pumunta sa Internet.	Kalakip ng awtomatikong pagsubok

VI. Kung Bakit ang pagiging kapupunan sa halip na ang paghahalili

Kung pagsasamahin ninyo ang tatlo, masusumpungan nilang ang kanilang mga sona ng pagkabulag ay magkakaugnay:

• Nakikita ng SAST ang kodigo ngunit hindi niya alam kung ito ay mag-uumpisa; alam ng DAST kung ito ay maaaring mag-udyok ngunit hindi alam kung aling linya ang problema; parehong IAST, ngunit nangangailangang patayin ang kodigo.
• Ang SAST ay sumasaklaw nang maaga, malapad at malakas; ang DAST ay may maliit na ingay ngunit ang huling pakikialam, makitid na pagsaklaw; at ang IAST ay may mataas na katumpakan ngunit maaaring sumalag at tumakbo nang maayos.
• Pumunta ka lamang sa SAST, na madaling tablan ng “a kumpol ng red tape” pagod; pumunta sa DAST, kung saan ang loophole ay kadalasang nakalantad sa linya; pumunta sa IAST, kung saan ang landas na hindi naaabot nito ay bulag.

Ang sagot sa realidad ay hindi isa o dalawa, ngunit ang isang stage-by-stage na pamamaraan: ang maagang paggamit ng SAST upang ma-upload ang isang malinaw na pattern ng masamang lasa at panganib, ang test phase ng IAST upang tumpak na makumpirma sa IAST kaugnay ng automasyon, at ang up- at down-line na paggamit ng DAST para sa panlabas na pagtanggap mula sa perspektibo. Ang tatlong pamahiin ay bumubuo ng isang aplikasyong pagsubok sa seguridad na nakasara nang walang malaking agwat.

VII. PRACTIKAL NA MGA ISYU SA LANDING

Maling pag - uulat kung sino ang nakikitungo rito

Alinman dito, walang nag - aayos ng ulat, walang sinuman ang gumagawa nito. Mayroong maliwanag na proseso ng triage: sino ang nakakakita, gaano katagal sa pagsasara, kung paano markahan ang "pagtanggap ng panganib" . Sa partikular, ang SAST ay nangangailangan ng pamamahalang baseline, kung hindi ang pamana ng kasaysayan ay papawi sa bagong mga problema.

Mas mahalaga ang pabalat kaysa sa mga tatak ng kagamitan

Ang kakayahan ng IAST na makadiskubre ay direktang nakasalalay sa kung gaano karaming kodigo ang saklaw ng pagsusulit; ang DAST ay nakasalalay sa kung gaano karaming mga interface ang naaabot ng mga reptilya. Mas makabuluhang sukatin ang “ ang bilis ng pag-aanunsyo bago pumunta online kaysa palitan ang mas mahal na kasangkapan.

3. Huwag ituring ang mga pagsubok sa kaligtasan bilang isang-off na mga pagsubok Kunin mo na.

Ang mga pagsubok sa kaligtasan ay dapat na ilagay sa isang patuloy na R & D proseso, sa halip na sentralisado bago magtungo sa Internet. Ang CI ay nagpapatakbo ng SAST, sinusubok ang kapaligiran ng IAST, regular na DAST para sa produksiyon, kaya hindi ito kailangang umasa sa laman ng tao upang iligtas ang apoy.

4. Ituon ang pansin sa mga synergie sa mga kasangkapan

Ang huwarang kalagayan ay na ang tatlong uri ng mga resulta ay maaaring pagsama - samahin sa iisang pangmalas: ang parehong loophole, SAST ay nagbibigay ng kodigong lokasyon, ang IAST ay nagbibigay ng data sapa na katibayan, at ang DAST ay maaaring makuha. Ito ay nagkakahalaga ng higit pa sa tatlong mga islang war-torn.

VIII. Listahan ng mga desisyon

• Mayroon.Bahagi ng PagpapasakopBasta pigilan mo lamang ang maliwanag na butas sa SAST, ituon ang pansin sa mga pagsasara ng pinto at mga baseline.
• Upang matiyakTalaga bang may kakayahan itong sumalakay? • Itaas na kasama ng DAST, itinutuon ang pansin sa saklaw at ayos ng login.
• Upang makagawa ng mga konklusyon sa seguridad.Ilabas sa pamamagitan ng awtomatikong pagsubokAt hanapin nang eksakto ang IAST.
• Ang limitadong mga mapagkukunan ay maaari lamang gamitin bilang isang unang prayoridad para sa SAST upang magtatag ng isang pang-ilalim na linya at pagkatapos ay unti-unting makumpleto ang IAEA/DAST.
• Ang paghahanap ng isang "one-size-fits-all, permanenteng solusyon" ay hindi umiiral, ngunit ang paraan ng pagsasaayos at proseso ang sagot.

ANGST ay posible, ang DAST ay praktikal, ang IAST ay espesipiko — ang pinagsama ay isang kumpletong larawan.