DAST

Problem

Einige Sicherheitslücken werden nur sichtbar, wenn die Anwendung tatsächlich ausgeführt wird. Die Quelle mag vernünftig aussehen, aber die bereitgestellte Anwendung verhält sich unsicher.

Lösung — Dynamisches Application Security Testing

Tools wie ZAP und Burp Suite Scanner testen die URL einer laufenden Anwendung, optional unter Verwendung von Test-Account-Anmeldeinformationen. Sie entdecken Seiten und API-Endpunkte, senden HTTP-Anfragen mit modifizierten Eingaben und inspizieren Antworten auf Schwachstellen wie SQL-Injection oder Cross-Site-Scripting (XSS). Eine CI-Pipeline kann den Scan ausführen, nachdem die Anwendung in einer Testumgebung bereitgestellt wurde, und die Ergebnisse für Entwickler melden.

Sicherheitsscanner
      ↓ Anfragen
Laufende Anwendung
      ↓
Beobachtetes Verhalten

Kerngedanke: DAST sucht nach Schwachstellen durch das Verhalten einer laufenden Anwendung.