सास्ट आइएस्ट डास्ट
एप्लिकेशन सुरक्षा परीक्षण के तीन प्रमुख दृष्टिकोणों का एक समीक्षा जो सॉफ्टवेयर विकास और क्रियान्वयन के अलग-अलग चरणों में खतरों की पहचान करने के लिए उपयोग किए जाते हैं।
परिभाषा
SAST (स्टैटिक एप्लिकेशन सुरक्षा परीक्षण), IAST (इंटरैक्टिव एप्लिकेशन सुरक्षा परीक्षण), और DAST (डायनामिक एप्लिकेशन सुरक्षा परीक्षण) सॉफ्टवेयर में सुरक्षा कमजोरियां खोजने के लिए पूरक विधियां हैं। SAST कोड के स्रोत कोड या संकलित आइटम का विश्लेषण करता है बिना एप्लिकेशन के चलाए, जो विकास के शुरू में कोडिंग त्रुटियां खोजता है। DAST बाहर से एक लाइव एप्लिकेशन की जांच करता है, हमलों के प्रतिरूप के साथ रनटाइम कमजोरियां और सेटिंग समस्याएं खोजने के लिए। IAST एक्सीक्यूशन के दौरान एक इंस्ट्रूमेंटेड एप्लिकेशन की निगरानी करके दोनों के पहलू मिलाता है जो कोड व्यवहार और कमजोरियों के बारे में समृद्ध जानकारी प्रदान करता है। एक साथ वे टीमों को सॉफ्टवेयर जीवन चक्र में अधिक सुरक्षित एप्लिकेशन बनाने में मदद करते हैं।
लाभ
- SAST विकास चक्र के शुरू में कोड चलाए बिना समस्याएं खोजता है।
- DAST एप्लिकेशन चल रहा हो तो ही दृश्य सुरक्षा अंतर खोलता है।
- IAST कोड दृश्यता और रनटाइम व्यवहार के संयोजन से गहरा संदर्भ प्रदान करता है।
- सभी तीनों के साथ उपयोग सुरक्षा को बेहतर ढंग से कवर करता है।
- प्रत्येक विधि अलग-अलग विशिष्टता वाले खतरों के लक्ष्य पर कार्य करती है, जो अंधे बिंदुओं को कम करती है।
नुकसान
- SAST झूठे सकारात्मक परिणाम पैदा कर सकता है और शायद ही रनटाइम समस्याओं को छूट जाए।
- DAST एक चल रहे वातावरण की आवश्यकता होती है और निष्पादन में धीमा हो सकता है।
- IAST इंस्ट्रूमेंटेशन पर निर्भर करता है जो कि कार्यक्षमता पर प्रभाव डाल सकता है।
- कोई भी एक विधि सभी खतरों को व्यापक रूप से कवर नहीं करती है।
- इन उपकरणों की स्थापना और विन्यास करने में बहुत अधिक विशेषज्ञता की आवश्यकता हो सकती है।
उपयोग के मामले
- CI/CD पाइपलाइन में SAST के एकीकरण से शुरू में कोडिंग त्रुटियां पकड़ें।
- रिलीज से पहले रनटाइम खतरों की खोज के लिए स्टेजिंग वातावरण में DAST चलाएं।
- QA परीक्षण के दौरान IAST एजेंट डेप्लॉ करके कोड पथों को सुरक्षा समस्याओं से संबंधित करें।
- संपूर्णता और सुरक्षा ऑडिटिंग की आवश्यकताओं को पूरा करने के लिए सभी तीन विधियों के संयोजन करें।
- झूठे सकारात्मक को कम करने और ठीक करने की गति बढ़ाने के लिए इंटरैक्टिव परीक्षण का उपयोग करें।