DAST(動的アプリケーションセキュリティテスト)

DAST ツールは、ソースコードを必要とせず、HTTP などを通じてデプロイ済みのアプリケーションと対話します。エンドポイントをクロールし、悪意あるリクエストを送り、レスポンスを観察することで、SQL インジェクション、XSS、SSRF、認証不備、誤った CORS 設定、安全でない Cookie などを検出します。攻撃者と同じ視点から検査するため、SAST と組み合わせることで、設定・インフラ・サードパーティサービスに起因するランタイム特有の問題も捕捉できます。通常はステージングや QA 環境で実行し、CI/CD のリリースゲートとして組み込みます。代表ツールは OWASP ZAP、Burp Suite、Invicti、Acunetix、StackHawk です。