CyberGlossary

Sécurité applicative

IAST (Interactive Application Security Testing)

Aussi appelé: Analyse interactive, Analyse de code à l'exécution

Définition

Test de sécurité qui instrumente l'application en cours d'exécution pour observer le code en temps réel pendant qu'il est sollicité par du trafic ou des tests.

Les agents IAST sont chargés dans le processus applicatif (via des hooks du runtime du langage) et observent les flux de données, les appels de fonctions et les requêtes HTTP en temps réel. En combinant la vue interne du SAST avec le contexte d'exécution du DAST, l'IAST peut confirmer qu'une entrée polluée atteint réellement un sink dangereux, ce qui réduit fortement les faux positifs et désigne la ligne vulnérable. Il s'exécute généralement pendant les tests fonctionnels ou QA, pas en production. L'IAST fonctionne avec des langages instrumentables comme Java, .NET, Node.js et Python ; exemples d'outils : Contrast Security, Checkmarx CxIAST, Seeker.

Exemples

  • Attacher un agent Contrast Security à un service Java en QA pour détecter du XSS pendant des tests E2E.
  • Utiliser Seeker pour confirmer une injection SQL dans une API Node.js pendant des flows Cypress.

Termes liés