動態應用安全測試:DAST的利與弊

---

動態應用安全測試(DAST)是一套測試方法，軟件開發人員通過模擬惡意行為來尋找應用程序中的安全漏洞，以確定可能被利用的弱點。在黑盒測試中，DAST模擬了黑客會嘗試的相同類型的外部攻擊，但不需要了解或查看應用程序的架構或內部源代碼。

復雜的DAST工具可以執行復雜的掃描，以檢測廣泛的缺陷，以防止安全漏洞，如分布式拒絕服務(DDoS)攻擊、跨站點腳本(XSS)、SQL注入等。而雖然DAST是一個強大的網絡安全工具，但它要在接近軟件開發生命周期（SDLC）結束時才能使用，因為它需要一個運行的應用程序構建后才能投入工作。

在開發過程中，一旦應用程序準備好通過執行的方式進行測試，一種DAST方法可以進行滲透測試和/或API測試，以便發現缺陷或漏洞，從而將這些發現的問題放在沖刺中進行修復。這有助于DevOps工程師在軟件推送出去之前快速解決這些問題。當與其他形式的安全測試（如靜態應用安全測試（SAST））相結合時，這提供了一個全面的測試策略，以幫助您的團隊交付安全、安全和可靠的軟件。

動態應用安全測試的優勢是什么？

由于動態應用安全測試方法可以模仿惡意用戶的行為，因此它能夠向企業準確地展示他們的應用在實時環境中的行為，及早指出風險，以便企業能夠進行必要的修復，防止攻擊成功。這種方法論有助于發現開發團隊沒有想到或認為不可能完成的問題。

黑客往往喜歡盡可能長時間地利用安全漏洞，并保持他們的存在，這可能會被安全團隊忽視。等到有人意識到應用程序已經被攻破的時候，損失已經造成了。

DAST還能夠發現其他形式的測試無法發現的問題。比如服務器配置和認證問題，以及已知用戶登錄網站后的障礙等問題。而且由于DAST方法是在黑盒級別進行測試，不依賴或不關心源代碼，因此它們可以測試任何應用程序，并發現其他測試所遺漏的問題，如身份驗證或服務器配置問題。更好的是，DAST可以輕松幫助確保合規性，并簡化監管報告。

動態應用安全測試的局限性

雖然動態應用安全測試工具對預防安全問題很有幫助，但也有一些缺點值得注意。一個缺點是，DAST可以依靠安全專家來創建正確的測試程序，很難為每個應用程序創建全面的測試。與此一起，DAST工具可能會創建假陽性測試結果，將應用程序的有效元素識別為威脅。

DAST工具的另一個局限性是，它們只能指出問題的存在，但它不能識別代碼本身的問題。單靠DAST，開發人員可能不容易知道從哪里開始尋找解決問題的方法。另外，DAST工具關注的是請求和響應，這可能會錯過不少隱藏在架構設計中的缺陷。

DAST通常以相當緩慢的速度運行，需要幾天或幾周的時間才能完成測試。而且由于它發生在SDLC的后期，發現的問題會給開發團隊帶來很多任務，從而延長了時間線，增加了成本。另外，由于完成測試可能需要幾天或幾周的時間，所以當發現問題時，項目生命周期團隊內的更多成員會受到影響。在一些冗長的情況下，開發人員可能需要回溯一下，重新熟悉舊代碼，然后才能進行必要的修復。

DAST與SAST的差異

DAST通過在運行時尋找利用安全漏洞的方法來模擬惡意攻擊和其他外部行為，而SAST則從開發人員的角度進行測試。SAST分析每一行代碼，而不必執行應用程序。識別違規，允許測試人員審查它們，并對軟件設計和/或實現進行修正。

一旦軟件實現開始，就可以執行SAST，因為它查看源代碼本身來發現導致安全缺陷的編碼規則違規。軟件的運行構建對于SAST來說并不是必須的，一旦你發現了標記的代碼，你就可以立即開始分類。SAST還通過在軟件開發生命周期的早期發現缺陷來降低成本，在這種情況下，它仍然可以快速方便地進行修復。

---

Parasoft滿足絕大多數行業標準

Parasoft是一家專門提供軟件測試解決方案的公司，幫助企業打造無缺陷的軟件。

從開發到質量檢查，Parasoft的技術通過集成靜態和運行時分析，單元、功能和API測試，以及服務虛擬化，在不犧牲質量和安全性的情況下加快軟件交付，節約交付成本。

強大的報告和分析功能可幫助用戶快速查明有風險的代碼區域，并了解新代碼更改如何影響其軟件質量，而突破性的技術將人工智能和機器學習添加到軟件測試中，使組織更容易采用和擴展跨開發和測試團隊的有效的軟件測試實踐。

Parasoft針對C/C++、Java、.NET和嵌入式的開發測試都有著30多年的深入研究，很多全國500強企業使用Parasoft的產品實現了軟件快速、高質量的交付。