Tietoturvatestaus (SAST, DAST, IAST)

SAST soveltuu erinomaisesti varhaiseen havaitsemiseen, mutta siihen liittyy tiettyjä erityispiirteitä:

• Hyödyt: Löytää haavoittuvuudet hyvin varhaisessa vaiheessa SDLC-prosessia, auttaa valvomaan koodausstandardeja ja voi kattaa 100 % koodista.
• Haitat: Voi tuottaa paljon virheellisiä positiivisia tuloksia, ei havaitse ajonaikaisia ongelmia tai määritysvirheitä ja edellyttää lähdekoodia.

Yleisiä SAST-löydöksiä ovat SQL-injektioon ja koodissa olevaan cross-site scripting (XSS) -haavoittuvuuteen liittyvät rakenteet sekä kovakoodatut salaisuudet.

DAST (Dynamic Application Security Testing) testaa sovellusta sen ollessa käynnissä. Se simuloi ulkopuolelta tulevia hyökkäyksiä aivan kuten haitallinen käyttäjä.

Tätä kutsutaan usein "black-box"-testaukseksi, koska se ei tarvitse pääsyä lähdekoodiin. DAST tarkistaa, miten sovellus käyttäytyy todellisessa ympäristössä, ja keskittyy ajonaikaiseen toimintaan ja määrityksiin.

DAST tarjoaa hyökkääjän näkökulman, mutta sillä on myös tiettyjä erityispiirteitä:

• Hyödyt: Löytää ajonaikaisia haavoittuvuuksia, määritysvirheitä ja ympäristökohtaisia ongelmia. Lähdekoodia ei tarvita.
• Haitat: Ei voi testata suorittamattomia koodipolkuja, saattaa tuottaa virheellisiä negatiivisia tuloksia ja suoritetaan yleensä myöhemmin SDLC-prosessissa.

DAST voi paljastaa esimerkiksi puutteellisen todennuksen, istunnonhallinnan virheitä ja palvelimen virheellisiä määrityksiä.

IAST (Interactive Application Security Testing) yhdistää SAST- ja DAST-testauksen piirteitä. Se toimii ottamalla käyttöön agentin tai instrumentoinnin käynnissä olevan sovelluksen sisällä.

Agentti seuraa sovelluksen toimintaa ja tietovirtaa reaaliajassa, kun sovellusta käytetään tai testataan. Se on kuin sisäinen tietoturva-asiantuntija, joka tarkkailee kaikkea.

IAST tarjoaa tehokkaan yhdistelmän erilaisia tietoja:

• Hyödyt: Suuri tarkkuus ja vähemmän virheellisiä positiivisia tuloksia kuin pelkällä SAST- tai DAST-testauksella, haavoittuvuuden tarkan koodirivin tunnistaminen sekä toimivuus tavallisen toiminnallisen testauksen aikana.
• Haitat: Edellyttää agentin asentamista, saattaa heikentää suorituskykyä jonkin verran ja testaa vain suoritetut koodipolut.

IAST tarjoaa yksityiskohtaista tietoa siitä, miten haavoittuvuudet ilmenevät ajon aikana, ja paikantaa niiden lähteen.

Milloin kutakin testaustyyppiä kannattaa käyttää?

• Varhainen kehitys: SAST nopean palautteen saamiseksi koodin laadusta ja yleisistä rakenteista.
• QA/testausympäristö: DAST käyttöönotetun sovelluksen testaamiseen hyökkääjän näkökulmasta.
• Jatkuva testaus: IAST tarkkojen ja integroitujen löydösten tekemiseen automaattisten tai manuaalisten toiminnallisten testien aikana.

Usein näiden työkalujen yhdistelmä tarjoaa kattavimman tietoturvan.

SAST-, DAST- ja IAST-testauksen integroiminen jatkuvan integraation ja jatkuvan toimituksen (CI/CD) putkeen on DevSecOpsin perusta:

• SAST: Suoritetaan jokaisen koodimuutoksen tai pull requestin yhteydessä.
• DAST: Käynnistetään, kun sovellus on otettu käyttöön testausympäristössä.
• IAST: Suoritetaan jatkuvasti kehitys- tai testausympäristön toiminnallisten testien aikana.

Automaatio varmistaa, että tietoturva on jatkuva prosessi, joka on sisällytetty koko kehityksen elinkaareen eikä lisätty vasta jälkikäteen.

Tarkastelimme sovellusten tietoturvatestauksen kolmea päätyyppiä:

• SAST: Staattinen analyysi, varhainen havaitseminen, ei suoritusta.
• DAST: Dynaaminen analyysi, käynnissä oleva sovellus, black-box-näkymä.
• IAST: Interaktiivinen analyysi, hybridilähestymistapa, suuri tarkkuus.

Kun nämä menetelmät yhdistetään DevSecOps-putkessa, tietoturvan kattavuus on laaja. Seuraavassa oppitunnissa perehdytte häiriötilanteisiin vastaamisen suunnitteluun!