CyberGlossary

Seguridad de aplicaciones

IAST (Pruebas interactivas de seguridad de aplicaciones)

También conocido como: Análisis interactivo, Análisis de código en tiempo de ejecución

Definición

Pruebas de seguridad que instrumentan la aplicación desde dentro para observar la ejecución del código mientras es ejercitada por tráfico o tests.

Los agentes IAST se cargan en el proceso de la aplicación (mediante hooks del runtime del lenguaje) y observan flujos de datos, llamadas de función y peticiones HTTP en tiempo real. Al combinar la visión interna del SAST con el contexto de ejecución del DAST, IAST puede confirmar si una entrada contaminada llega realmente a un sink peligroso, lo que reduce los falsos positivos y señala la línea exacta vulnerable. Suele ejecutarse durante pruebas funcionales o QA, no en producción. Funciona mejor en lenguajes instrumentables como Java, .NET, Node.js y Python; herramientas: Contrast Security, Checkmarx CxIAST y Seeker.

Ejemplos

  • Adjuntar un agente Contrast Security a un servicio Java en QA para detectar XSS durante pruebas E2E.
  • Usar Seeker para confirmar SQL injection en una API Node.js mientras se ejecutan flujos de Cypress.

Términos relacionados