Página inicial da OpenText.
Tópicos técnicos

O que é o teste dinâmico de segurança de aplicativos (DAST)?

Ilustração de itens de TI com foco em um ponto de interrogação

Visão geral

O teste dinâmico de segurança de aplicativos(DAST) é o processo de análise de um aplicativo da Web por meio do front-end para encontrar vulnerabilidades por meio de ataques simulados. Esse tipo de abordagem avalia o aplicativo de "fora para dentro", atacando um aplicativo como um usuário mal-intencionado faria. Depois que um scanner DAST realiza esses ataques, ele procura resultados que não fazem parte do conjunto de resultados esperado e identifica vulnerabilidades de segurança.

Teste dinâmico de segurança de aplicativos (DAST)

Prós da DAST

  • Independente do aplicativo
  • Localiza imediatamente as vulnerabilidades que podem ser exploradas
  • Não requer acesso ao código-fonte

Contras da DAST

  • Não encontra o local exato de uma vulnerabilidade no código
  • É necessário conhecimento de segurança para interpretar os relatórios
  • O teste pode ser demorado

O desenvolvimento e o teste de aplicativos continuam sendo o processo de segurança mais desafiador para as organizações, de acordo com os profissionais de segurança de TI. Os desenvolvedores precisam de soluções para ajudá-los a criar códigos seguros, e é aí que as ferramentas de segurança de aplicativos (AppSec) entram em ação.

AppSec é a disciplina de processos, ferramentas e práticas que visam proteger os aplicativos contra ameaças durante todo o ciclo de vida do aplicativo.

Há muitas maneiras de testar a segurança do aplicativo, incluindo:

Por que a DAST é importante?

A DAST é importante porque os desenvolvedores não precisam confiar apenas em seu próprio conhecimento ao criar aplicativos. Ao realizar a DAST durante o SDLC, você pode detectar vulnerabilidades em um aplicativo antes que ele seja implantado para o público. Se essas vulnerabilidades não forem verificadas e o aplicativo for implantado como tal, isso poderá levar a uma violação de dados, resultando em grandes perdas financeiras e danos à reputação da sua marca. O erro humano inevitavelmente desempenhará um papel em algum momento do ciclo de vida de desenvolvimento de software (SDLC), e quanto mais cedo uma vulnerabilidade for detectada durante o SDLC, mais barata será sua correção.

Quando a DAST é incluída como parte do pipeline de integração contínua/desenvolvimento contínuo (CI/CD), isso é chamado de "DevOps seguro" ou "DevSecOps".

Como funciona a DAST?

Um scanner DAST procura vulnerabilidades em um aplicativo em execução e envia alertas automáticos se encontrar falhas que permitam ataques como injeções de SQL, XSS (Cross-Site Scripting) e outros. Como as ferramentas DAST são equipadas para funcionar em um ambiente dinâmico, elas podem detectar falhas de tempo de execução que as ferramentas SAST não conseguem identificar.

Usando o exemplo de um edifício, um scanner DAST pode ser considerado como um guarda de segurança. No entanto, em vez de apenas certificar-se de que as portas e janelas estão trancadas, esse guarda vai além e tenta invadir fisicamente o prédio. O guarda pode tentar arrombar as fechaduras das portas ou quebrar as janelas. Depois de concluir esse exame, o guarda poderia se reportar ao gerente do prédio e fornecer uma explicação de como ele conseguiu invadir o prédio. Um scanner DAST pode ser pensado da mesma forma: ele tenta ativamente encontrar vulnerabilidades em um ambiente em execução para que a equipe de DevOps saiba onde e como corrigi-las.

O que é uma ferramenta DAST adequada para os desenvolvedores?

OpenText™ Fortify™ O WebInspect fornece testes automatizados de segurança de aplicativos dinâmicos para que você possa verificar e corrigir vulnerabilidades exploráveis de aplicativos da Web.

Normalmente, o DAST é feito após a produção, pois está emulando ataques em um aplicativo em execução; mas, ao tomar a decisão de "deslocar o DAST para a esquerda" (movendo o DAST mais cedo no processo de desenvolvimento), você poderá detectar vulnerabilidades mais cedo, o que economiza tempo e dinheiro. O Fortify WebInspect inclui políticas de varredura pré-criadas, equilibrando a necessidade de velocidade com seus requisitos organizacionais.

O Fortify WebInspect também inclui um recurso de varredura incremental, que permite avaliar rapidamente as vulnerabilidades apenas nas áreas do aplicativo que foram alteradas.

O Fortify WebInspect permite que você:

  • Proteja o DevOps com DAST automatizado
  • Gerencie o risco de AppSec em escala
  • Obter conformidade com as principais normas de segurança de dados
  • Deslocar a DAST para a esquerda
  • Rastrear estruturas e APIs modernas
  • Criar um programa AppSec mais forte

Qual é a diferença entre SAST e DAST?

O DAST ataca o aplicativo de "fora para dentro", atacando um aplicativo como um usuário mal-intencionado faria. Depois que um scanner DAST executa esses ataques, ele procura resultados que não fazem parte do conjunto de resultados esperado e identifica vulnerabilidades de segurança.

O SAST, por outro lado, analisa ambientes estáticos, ou seja, o código-fonte de um aplicativo. Ele analisa o aplicativo de "dentro para fora", procurando vulnerabilidades no código.

Para maximizar a força de sua postura de segurança, é uma prática recomendada usar tanto o SAST quanto o DAST. Ter essa taxonomia unificada entre os métodos de teste permite que você tenha uma visão completa das vulnerabilidades.

Na OpenText Fortify...

Aprimoramos seu SDLC com o teste dinâmico de segurança de aplicativos (DAST). O Fortify WebInspect fornece a tecnologia e os relatórios de que você precisa para proteger e analisar seus aplicativos. Por definição, essa e outras ferramentas da OpenText preenchem a lacuna entre as tecnologias existentes e as emergentes, o que significa que você pode inovar e fornecer aplicativos mais rapidamente, com menos riscos, na corrida para a transformação digital.

A Fortify oferece as mais abrangentes tecnologias de teste de segurança de aplicativos estáticos e dinâmicos, além de monitoramento e proteção de aplicativos em tempo de execução, com o respaldo de pesquisas de segurança líderes do setor.

Entre em contato conosco

Entre em contato conosco para obter mais informações sobre o Fortify WebInspect

Entre em contato conosco

Produtos relacionados

OpenText™ Fortify WebInspect

Identificar vulnerabilidades em aplicativos e serviços da Web implantados

OpenText™ Fortify on Demand

Desbloqueie testes de segurança, gerenciamento de vulnerabilidades, e expertise e suporte personalizados

OpenText™ Cybersecurity Cloud

Defenda com precisão, assegure com confiança

Veja todos os produtos relacionados

Como podemos ajudar?

Notas de rodapé