Thử nghiệm an ninh cho sự bổ sung của ba anh em, chứ không phải thay thế
Ba chữ viết tắt phổ biến nhất trong các bài kiểm tra an ninh ứng dụng là SAST, DAST, LAST. Nhiều người phản ứng đầu tiên của nhiều người là “chọn một trong những người mạnh mẽ nhất, nhưng đó là một đề xuất đạo đức giả -- ba anh em không cạnh tranh nhau, nhưng xem cùng một vấn đề từ những quan điểm khác nhau. Lựa chọn không phụ thuộc vào ai là người tiên tiến hơn, nhưng trên sân khấu bạn đang ở trong vòng đời phần mềm, bạn muốn tìm lỗ hổng nào và bạn có thể chịu đựng bao nhiêu.
Tôi tuyên bố về sự kiện đầu tiên
- SAST (thử nghiệm bảo mật tĩnh ứng dụng)Bộ quản lý khácKhông chạy chương trìnhTheo đó mã quét mã nguồn/byte tìm thấy một lỗ hổng thuộc về Hộp Trắng.
- LASTBộ quản lý khácĐang chạy chương trìnhYêu cầu phóng bên ngoài, các cuộc tấn công giả lập là “hộp đen và không cần mã nguồn.
- LAST (thử nghiệm an toàn ứng dụng chủ động)Bộ quản lý khácChạy chương trình từ bên trongPhần bổ sung ( Đặc vụ), kết hợp với dòng chảy và mật mã, thuộc về Hộp Xám.
Chìa khóa để hiểu ba câu hỏi này là mỗi câu trả lời cho những câu hỏi khác nhau: DAST hỏi, "Chúng ta có thể thực sự qua được khi chạy không?" LAST hỏi, "Trong hoạt động này, dòng dữ liệu nào thực sự chảy đến mức nguy hiểm."
Giải quyết vấn đề ở giai đoạn viết mã
LAST trực tiếp phân tích mã nguồn (hoặc biên dịch các sản phẩm trung gian) và không thực hiện chương trình. Lợi thế là có thể phát hiện vấn đề ở giai đoạn đầu, hoặc ngay cả khi gửi mã, để xác định vị trí các tài liệu và số dòng cụ thể, với chi phí sửa chữa thấp. Nó bao gồm mật mã có thể được quét và không phụ thuộc vào môi trường thời gian chạy.
Bảng ngắn: Tỷ lệ lỗi thường cao vì nó không xác định được một số mật mã nhất định sẽ được kích hoạt trong kinh doanh thật hay không; các vấn đề chỉ được phơi bày khi chạy (v. g., lỗi cấu hình, đảm bảo bỏ qua, gọi chuỗi phụ thuộc vào thư viện) không được nhìn thấy đầy đủ; mã nguồn là cần thiết và thành phần mã nguồn đóng không hoạt động được.
Tình huống điển hình: các cửa gửi mã tín hiệu CI được đóng lại để ngăn ngừa việc tiêm thuốc, các chức năng nguy hiểm được gọi vào xương sống.
Kiểm tra "Nó có thực sự hiệu quả không?"
LAST sử dụng mục tiêu như một hộp đen để gửi yêu cầu từ bên ngoài, xây dựng các quả bom tấn công và quan sát phản ứng. Giá trị lớn nhất của nó là...Sắp có một cuộc tấn công thật sự.— Vấn đề về “việc truy cập thực tế để sử dụng phương tiện truy cập điện thoại cho phép, với thông tin tương đối thấp. Không cần mã nguồn, vì vậy các thành phần bên thứ ba, các lớp cấu hình cũng có thể được bao phủ.
Bảng ngắnThường thì chỉ cho đến khi phát hiện ra rằng việc phát hiện gần đây và chi phí sửa chữa là rất cao; tin tức chỉ giới hạn cho loài bò sát và những tuyến đường thử nghiệm mà có thể đạt được bằng ví dụ, mà không cần phát hiện ra những điểm chức năng không thể phát hiện được; rất khó để xác định được mã nguồn chính xác, và sự phát triển và báo cáo thường chỉ được biết đến “ địa chỉ URL nào là vấn đề khó khăn; và chi phí cấu hình là cao để yêu cầu sự đăng nhập, quá trình kinh doanh đa bước.
Trường hợp điển hình: quyền bảo mật trước khi lên mạng, quét tuần hoàn môi trường triển khai.
Các plug thời gian chạy, cân bằng ngữ cảnh với các dòng dữ liệu thực
LAST cũng quan sát mật mã thực hiện và lưu lượng bên ngoài khi chạy chương trình bằng cách cấy thuốc anten trong ứng dụng. Nó có thể thấy các yêu cầu đến như thế nào, và làm thế nào dữ liệu chảy vào mã, vì vậy nó có thể được đưa ra.Lấy toàn bộ bằng chứng của quán trọ.Nó thường thấp hơn SAST và chính xác.
Bảng ngắnNhu cầu để có thể triển khai thăm dò trong môi trường mục tiêu (để có thể lo lắng về môi trường sản xuất), sự phụ thuộc vào các bản tin kiểm tra, mà không thể tìm thấy mà không có mã đã được thực hiện, thường được gắn liền với các thử nghiệm chức năng/tự động; sự khác biệt về ngôn ngữ và hỗ trợ khuôn khổ; và một số chi phí hiệu suất nhất định.
Tình huống điển hình: hãy chạy trong môi trường thử nghiệm kết hợp với việc tự động thử nghiệm, cả khả năng hoạt động và đồng bộ kết quả an toàn.
Năm, ba đấu một.
| Các chiều | LAST | LAST | LAST |
|---|---|---|---|
| Đối tượng thử ra | Nguồn/ byte (không chạy) | Mục tiêu hoạt động (ngoài) | Ứng dụng thao tác (các plug nội bộ) |
| Phối cảnh | Hộp trắng | Hộp đen | Hộp xám |
| Đến lúc can thiệp rồi. | Bộ mã/ phục tùng giai đoạn sớm nhất | Sau khi triển khai | Thử/ Chạy |
| Cần mã nguồn | Phải. | Không cần. | Cần thiết (có thể cắm) |
| Cấp sai | Cao | Thấp | Dưới |
| Độ chính xác vị trí | Tới tập tin/dòng | Tới URL/ Giao diện | Name |
| Ghi đè phụ thuộc | Hạn chế (xem mã nguồn) | Ghi đè lên phơi nắng khi chạy | Hạn chế bởi đường dẫn thực hiện |
| Cảnh điển hình | Lệnh cấm cửa CI Code | Kiểm tra và chấp nhận trước khi lên mạng. | Kết hợp với việc thử ra tự động |
VI. Tại sao bổ sung thay vì thay thế
Nếu bạn đặt cả ba lại với nhau, họ sẽ thấy những vùng mù của họ được bổ sung:
- LAST nhìn thấy mật mã nhưng không biết nó sẽ được kích hoạt hay không; DAST biết nó có thể được kích hoạt hay không nhưng không biết trong dòng nào vấn đề là; LAST cả hai, nhưng yêu cầu phải thực hiện mã.
- LAST bao gồm sớm, rộng và lớn; DAST có tiếng ồn nhỏ nhưng can thiệp muộn, bảo vệ thấp; và LAST có độ chính xác cao nhưng có thể cắm và chạy tốt.
- Chỉ cần đi đến SAST, nơi dễ bị “một loạt các cuộn băng đỏ mệt mỏi; đi đến DAST, nơi mà khe hở thường được phơi bày trên đường; đi đến LAST, nơi mà người ta không đụng đến nó là mù.
Câu trả lời cho thực tế không phải là một hoặc hai, mà là một phương pháp tiếp cận từng giai đoạn: đầu tiên sử dụng SAST để lấp đầy một mô hình rõ ràng của vị giác xấu và mối nguy hiểm, giai đoạn thử nghiệm IAST để được xác nhận chính xác với IAST trong kết hợp với tự động hóa, và sử dụng cao và xuống của DAST để chấp nhận bên ngoài từ góc nhìn của kẻ xâm lược. Ba sự mê tín là một thử nghiệm an ninh áp dụng mà không có khoảng cách đáng kể.
VII. SỐ HỌC TRONG NƯỚC TRỜI
1.
Dù thế nào đi nữa, không ai sửa báo cáo, không ai biết. Có một quá trình phân loại rõ ràng: những người thấy, bao lâu để kết thúc, làm thế nào để đánh dấu "nhận lấy rủi ro". Đặc biệt là, SAST cần quản lý cơ bản, nếu không di sản của lịch sử sẽ nhấn chìm những vấn đề mới.
Ngụy trang là quan trọng hơn công cụ thương hiệu
Khả năng khám phá của LAST phụ thuộc trực tiếp vào số mật mã được bao phủ bởi thử nghiệm; DAST phụ thuộc vào số giao diện của loài bò sát. Chúng ta có ý nghĩa hơn khi đánh giá “số lượng phát hiện ra các máy tính trước khi lên mạng thay thế một công cụ đắt tiền hơn.
3. Đừng đối xử với các thử nghiệm an toàn như một-off Cầm lấy.
Thử nghiệm an toàn nên được đặt trong một tiến trình R & D liên tục, thay vì tập trung trước khi lên mạng. CI chạy SAST, thử nghiệm môi trường LAST, thường xuyên làm DAST cho sản xuất, vì vậy nó không phải dựa vào thịt người để cứu hỏa.
4. Tập trung vào sự hợp nhất giữa các công cụ
Tình trạng lý tưởng là ba loại kết quả có thể được nhóm lại theo cùng một quan điểm: cùng lỗ hổng, SAST cung cấp mật mã, LAST cung cấp bằng chứng lưu trữ dữ liệu, và DAST có thể sử dụng được. Nó đáng giá hơn nhiều so với ba hòn đảo bị chiến tranh tàn phá.
VIII. Danh sách các quyết định
- Phải.Thời gian phục tùngChỉ cần giữ cho lỗ hổng hiển nhiên trên SAST, tập trung vào đóng cửa và đường phụ.
- Để xác minhHệ thống triển khai có khả năng tấn công không? • Tập trung vào tin tức và cấu hình đăng nhập.
- Để có được kết luận an ninh.Kết xuất có kiểm tra tự độngVà xác định chính xác vị trí trên chiếc LAST.
- Nguồn tài nguyên hạn chế chỉ có thể được sử dụng như là ưu tiên hàng đầu cho SAST để thiết lập một điểm cuối và sau đó dần dần hoàn thành IA/DAST.
- Tìm kiếm một giải pháp đơn giản, vĩnh viễn không tồn tại, nhưng cách tổ chức và xử lý là câu trả lời.
SAST là điều có thể, LAST là thực tế, IAST là cụ thể — tổng hợp lại là một hình ảnh đầy đủ.