DAST (Dynamic Application Security Testing)

DAST-Tools interagieren mit einer deployten Anwendung – typischerweise über HTTP – ohne Quellcode zu benötigen. Sie crawlen Endpunkte, senden manipulierte Requests und werten Responses aus, um SQL-Injection, XSS, SSRF, fehlerhafte Authentifizierung, falsch konfiguriertes CORS oder unsichere Cookies zu erkennen. Da sie sehen, was auch ein Angreifer sieht, ergänzt DAST SAST und findet Probleme, die nur zur Laufzeit auftreten – auch durch Konfiguration, Infrastruktur oder Drittanbieter. Üblich ist der Einsatz in Staging/QA-Umgebungen und als Release-Gate in der CI/CD. Bekannte Tools: OWASP ZAP, Burp Suite, Invicti, Acunetix, StackHawk.