动态应用安全测试(DAST)

为什么需要ast工具?

Web应用程序攻击 可能不会得到同样的头条 ransomware 漏洞利用确实如此，但毫无疑问，它们对所有类型的企业都是一个主要威胁. 最常见的一种基于网络的攻击是 SQL injection (SQLi), 攻击者可以通过在数据库查询中插入任意SQL代码来完全控制公司的web应用程序数据库.

Another is 跨站点脚本(XSS), 攻击者将自己的代码注入到web应用程序中，然后窃取用户凭证, session cookies, 或者其他敏感信息——用户和公司都不知道发生了什么.

众所周知，黑客的目标是内容管理系统和电子商务平台，因为它们可能隐藏着大量的漏洞, once discovered, 很容易被反复利用吗. 一旦web应用程序攻击正在进行中, 安全团队可能在相当长的一段时间内无法检测到它.

Meanwhile, 攻击者可以随心所欲地制造尽可能大的破坏, 帮助自己获取敏感的公司甚至客户数据，这些数据可能位于web应用程序后面的数据库中, 例如信用卡号码或个人身份信息(PII).

对企业来说不幸的是, 即使是相对不熟练的黑客也能轻易发动这类攻击, 希望能有丰厚的收入, 他们特别有动力这样做. 他们通常会在web应用程序中寻找容易利用的漏洞, 比如那些在 OWASP Top 10，这样他们就可以发动网络攻击.

DAST工具以类似的方式运行, 让您的安全和开发团队及时了解应用程序的行为和潜在的弱点，这些弱点可能会在黑客发现并利用它们之前被利用.

DAST工具如何增强Web应用程序安全性

DAST工具不断地在生产中的web应用程序中搜索漏洞, 寻找攻击者可能试图利用的弱点，然后说明他们如何远程侵入系统. 识别漏洞后, DAST解决方案将自动警报发送到适当的团队，以便他们可以优先考虑并修复它.

With DAST tools, 企业可以更好地理解他们的web应用程序的行为, 在发展过程中不断强调新的和正在出现的弱点. 通过使用DAST在软件开发生命周期(SDLC)的早期识别漏洞, 公司可以在节省时间和金钱的同时降低风险.

企业还可以使用DAST来协助PCI遵从性和其他类型的法规报告. 一些公司可能会自愿使用OWASP十大应用程序安全性风险列表作为遵从性基准. Alternatively, 第三方可能会要求公司评估他们自己的web应用程序，并修复列表上的顶级漏洞.

除了精简 compliance, DAST解决方案还可以帮助开发人员发现配置错误或错误，并突出web应用程序的特定用户体验问题.

动态应用程序安全测试的三个技巧

1. 尽早并经常使用DAST以获得最佳效果

当公司利用DAST解决方案来识别其web应用程序中的潜在弱点时，他们可以从该解决方案中获得最大的收益, 特别是任务关键型应用程序, 在软件设计生命周期中越早越好. 没有在SDLC早期部署DAST的公司可能会发现，为了修复他们发现的问题，它不必要地花费了他们更多的金钱和员工时间，更不用说大量的挫折了.

2. 启用与DevOps的有效协作

DAST工具帮助您对发现的漏洞进行优先排序, 但要确保妥善解决, 然后，您必须有效地将它们传递给DevOps团队中的同事. For this reason, 将您的DAST工具与您的DevOps同事使用的错误跟踪系统完全集成是一个好主意. 通过向开发人员提供他们需要的准确的正确信息来及时修复漏洞, 你可以帮助他们优先考虑安全问题，让你的公司更接近安全 DevSecOps mindset.

3. 作为web应用程序安全测试的综合方法的一部分，DAST效果最好

尽管DAST可以让繁忙的安全团队在web应用程序投入生产后及时了解其行为, SAST和应用渗透测试是其他有效的测试形式 Web应用程序安全测试 企业通常将其与DAST结合使用. SAST在应用程序源代码中创建一个有用的漏洞快照, 什么在早期特别有价值 SDLC. 应用程序渗透测试提供了真实世界中攻击者如何侵入特定web应用程序的确切演示.

随着web应用程序攻击的增加, 企业越来越意识到他们必须在SDLC的早期优先考虑web应用程序的安全性. 通过实现web应用程序安全扫描程序，并结合一些基本的web应用程序安全测试和漏洞修复的最佳实践, 它们可以显著降低风险，并帮助保护系统免受机会主义攻击者的攻击.

Read More About DAST

了解Rapid7的fast产品

DAST:来自博客的最新消息