CyberGlossary

Безопасность приложений

DAST (Dynamic Application Security Testing)

Также известно как: Динамический анализ, Black-box тестирование

Определение

Black-box тестирование безопасности работающего приложения по сети для поиска уязвимостей, проявляющихся только в рантайме: инъекций, ошибок аутентификации и неправильных конфигураций.

Инструменты DAST взаимодействуют с развернутым приложением, обычно по HTTP, и не требуют исходного кода. Они обходят эндпоинты, отправляют специально подготовленные запросы и анализируют ответы, обнаруживая SQL-инъекции, XSS, SSRF, ошибки аутентификации, некорректный CORS, небезопасные cookie. Видя приложение глазами атакующего, DAST дополняет SAST и выявляет проблемы, существующие только в рантайме, в том числе вызванные конфигурацией, инфраструктурой или сторонними сервисами. Обычно запускается в staging/QA и встраивается в CI/CD как релизные ворота. Среди инструментов — OWASP ZAP, Burp Suite, Invicti, Acunetix, StackHawk.

Примеры

  • Запуск автоматического сканирования OWASP ZAP против staging API в CI.
  • Сканирование SPA с аутентифицированной сессией с помощью Burp Suite.

Связанные термины