Динамический анализ безопасности приложений (DAST)
Простыми словами
Проще говоря, «Динамический анализ безопасности приложений (DAST)» помогает команде увидеть, где в жизненном цикле приложения нужна защитная мера, проверка или исправление дефекта. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Динамический анализ безопасности приложений (DAST)» используют так: его встраивают в требования к приложению, проверки конвейера разработки и процесс устранения дефектов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
Команда разработки включает понятие «Динамический анализ безопасности приложений (DAST)» в требования и CI/CD: запускает подходящую проверку, разбирает результат и блокирует выпуск только по подтверждённому критерию.
Не путать с
- Интерактивный анализ безопасности приложений (IAST)IAST — анализ безопасности, выполняемый с инструментированием приложения во время его работы и тестирования.
- Анализ состава ПО (SCA)SCA — анализ состава ПО для выявления сторонних компонентов, лицензий и известных уязвимостей зависимостей.
- Runtime Application Self-Protection (RASP)RASP — защита приложения во время выполнения, наблюдающая за контекстом и блокирующая опасные действия.
Как это работает
- Определить поток данныхДля «Динамический анализ безопасности приложений (DAST)» выделяют входы, доверительные границы, опасные операции и владельца кода.
- Встроить проверкуКонтроль размещают на подходящем этапе разработки или поставки с понятным условием.
- Провести триажСрабатывание «Динамический анализ безопасности приложений (DAST)» подтверждают в контексте приложения и отделяют от ложного результата.
- Исправить и проверитьПричину устраняют в коде или архитектуре и закрепляют автоматическим повторным тестом.
Продолжить изучение
Частые вопросы
Проще говоря, «Динамический анализ безопасности приложений (DAST)» помогает команде увидеть, где в жизненном цикле приложения нужна защитная мера, проверка или исправление дефекта. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Динамический анализ безопасности приложений (DAST)» применяют на практике?В практике ИБ термин «Динамический анализ безопасности приложений (DAST)» используют так: его встраивают в требования к приложению, проверки конвейера разработки и процесс устранения дефектов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Динамический анализ безопасности приложений (DAST)» отличается от близких понятий?«Динамический анализ безопасности приложений (DAST)» описывает следующее: анализ работающего приложения путём отправки запросов и наблюдения за его поведением извне. «Интерактивный анализ безопасности приложений (IAST)» означает: анализ безопасности, выполняемый с инструментированием приложения во время его работы и тестирования. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.