在当前安全开发流程中，还没有哪类工具可以覆盖到整个开发流程的安全测试，因此组织通常会结合多个应用程序测试工具来保护应用程序的整个生命周期。安全测试是应用程序安全的重要基础，可以在整个开发和运营管道中查找和修复问题。

静态应用程序安全测试 (SAST)

SAST 工具在部署应用程序之前自动分析源代码、字节码或二进制文件，通过全覆盖检测代码来识别漏洞，有助于在进入生产环境前进行修复代码缺陷。SAST 工具可用于检测代码安全以及代码质量检查，可以直接在 IDE 中，也可以作为工具链中的单独一步。需要注意的是，在使用SAST工具时，要确定工具是否满足所需的检测的代码语言。SAST工具不能检测第三方组件和一些运行时的漏洞问题。

动态应用程序安全测试 (DAST)

DAST 通过模拟攻击者行为从外部寻找安全漏洞，但无法直接将问题定位到源代码，因此又称为黑盒测试。由于 DAST 不需要访问源代码，不需要考虑特定语的代码语言。DAST 工具可以发现错误配置、加密或身份验证问题以及可利用的 OWASP Top 10 漏洞，包括跨站点脚本 (XSS) 和 SQL 注入。DAST可以在 DevOps 流程的多个阶段直接集成到 CI/CD 管道中，以自动触发扫描并重新测试修复。

交互式应用程序安全测试 (IAST)

IAST工具(又名灰盒测试)可以被认为是SAST和DAST的结合工具，IAST旨在将运行时洞察力与对软件内部的访问结合起来。一些独立解决方案需要代码检测，而另一些则充当应用程序运行时的插件。

软件组合分析 (SCA)

虽然它的名称中没有“测试”，但软件成分分析 (SCA) 是应用程序安全测试的另一个重要部分。SCA用来识别应用程序中的开源组件，突出显示其中的已知漏洞，并且通常还可以确保许可证合规性。

如何选择合适的工具

有效性。确认工具是否能查找所需检测的问题，是否有足够的扩展能力并且进行定制。
准确性。过高的误报率不但降低使用者的工作效率，而且还会导致对工具的不信任。
部署和使用。易于部署和使用，并缩短价值实现时间。
集成能力。不仅在 SDLC 的早期运行安全测试，还可以在 SDLC 的多个点运行安全测试。这有助于改善协作并消除孤岛，并帮助开发人员得到详细的缺陷报告和解决方案。
成熟度和售后支持。成熟的工具可以有更为全面的测试能力和稳定的性能，完善的售后支持可以帮助使用者获得更全面的使用指导和工具的及时升级。

ITPub博客

如何选择正确的应用程序安全工具

最新文章