Sikkerhedstest (SAST, DAST, IAST)

SAST er fremragende til tidlig opdagelse, men har sine særpræg:

• Fordele: Finder sårbarheder meget tidligt i SDLC, hjælper med at håndhæve kodestandarder og kan dække 100 % af koden.
• Ulemper: Kan give mange falske positiver, opdager ikke problemer under kørsel eller konfigurationsfejl og kræver kildekoden.

Almindelige SAST-resultater omfatter mønstre for SQL-injektion, cross-site scripting (XSS) i kode og hardkodede hemmeligheder.

DAST (Dynamic Application Security Testing) tester din applikation, mens den kører. Den simulerer angreb udefra, ligesom en ondsindet bruger ville gøre.

Det kaldes ofte test af "black-box"-typen, fordi det ikke kræver adgang til kildekoden. DAST undersøger, hvordan applikationen opfører sig i et realistisk miljø, med fokus på adfærd under kørsel og konfiguration.

DAST giver dig en angribers perspektiv, men har også bestemte egenskaber:

• Fordele: Finder sårbarheder under kørsel, konfigurationsfejl og miljøspecifikke problemer. Kildekode er ikke nødvendig.
• Ulemper: Kan ikke teste kodeveje, der ikke bliver kørt, kan give falske negativer og udføres typisk senere i SDLC.

DAST kan afdække problemer som defekt godkendelse, fejl i sessionshåndtering og fejlkonfigurerede servere.

IAST (Interactive Application Security Testing) kombinerer elementer fra både SAST og DAST. Det fungerer ved at udrulle en agent eller instrumentering inde i den kørende applikation.

Agenten observerer applikationens adfærd og dataflow i realtid, mens den bruges eller testes. Det er som at have en intern sikkerhedsekspert, der holder øje med alt.

IAST kombinerer flere stærke former for indsigt:

• Fordele: Høj nøjagtighed med færre falske positiver end SAST eller DAST alene, identificerer den præcise kodelinje med sårbarheder og fungerer under almindelig funktionel test.
• Ulemper: Kræver installation af en agent, kan medføre en vis ydeevnepåvirkning og tester kun kodeveje, der bliver kørt.

IAST giver detaljeret indsigt i, hvordan sårbarheder viser sig under kørsel, og peger på deres kilde.

Hvornår bør du bruge de forskellige testtyper?

• Tidlig udvikling: SAST til hurtig feedback om kodekvalitet og almindelige mønstre.
• QA eller staging: DAST til at teste den udrullede applikation fra en angribers perspektiv.
• Kontinuerlig test: IAST til integrerede og nøjagtige resultater under automatiske eller manuelle funktionelle test.

Ofte giver en kombination af disse værktøjer den mest omfattende sikkerhedsdækning.

Det er afgørende for DevSecOps at integrere SAST, DAST og IAST i din Continuous Integration/Continuous Delivery (CI/CD)-pipeline:

• SAST: Kør ved hver kodecommit eller pull request.
• DAST: Udløses efter udrulning til et testmiljø.
• IAST: Kører kontinuerligt under funktionelle test i udviklings- eller stagingmiljøet.

Denne automatisering sikrer, at sikkerhed er en kontinuerlig proces, der er indlejret i hele udviklingslivscyklussen og ikke noget, man først tænker på bagefter.

Vi har gennemgået de tre vigtigste typer sikkerhedstest af applikationer:

• SAST: Statisk analyse, tidlig opdagelse, ingen kørsel.
• DAST: Dynamisk analyse, kørende applikation, black-box-perspektiv.
• IAST: Interaktiv analyse, hybrid tilgang, høj nøjagtighed.

Ved at kombinere disse metoder i din DevSecOps-pipeline får du en omfattende sikkerhedsdækning. I næste lektion går vi i dybden med planlægning af hændelsesrespons!