Page d'accueil d'OpenText.
Sujets techniques

Qu'est-ce que le test de sécurité dynamique des applications (DAST) ?

Illustration d'éléments informatiques mettant en évidence un point d'interrogation

Aperçu

Les tests de sécurité dynamique des applications (DAST) sont le processus d'analyse d'une application Web via le front-end pour trouver des vulnérabilités grâce à des attaques simulées. Ce type d'approche évalue l'application « de l'extérieur vers l'intérieur » en l'attaquant comme le ferait un utilisateur malveillant. Une fois qu'un scanneur DAST a effectué ces attaques, il recherche les résultats qui ne font pas partie de l'ensemble de résultats attendus et identifie les vulnérabilités de sécurité.

Tests dynamiques de sécurité des applications (DAST)

Avantages de DAST

  • Indépendamment de l'application
  • Détecte immédiatement les vulnérabilités exploitables.
  • Ne nécessite pas l'accès au code source

Inconvénients du DAST

  • Ne parvient pas à localiser précisément la vulnérabilité dans le code.
  • Des connaissances en sécurité sont nécessaires pour interpréter les rapports
  • Les tests peuvent prendre du temps.

Selon les professionnels de la sécurité informatique, le développement et les tests d'applications demeurent le processus de sécurité le plus complexe pour les organisations. Les développeurs ont besoin de solutions pour les aider à créer du code sécurisé, et c'est là qu'interviennent les outils de sécurité des applications (AppSec).

La sécurité des applications (AppSec) est la discipline qui regroupe les processus, les outils et les pratiques visant à protéger les applications contre les menaces tout au long de leur cycle de vie.

Il existe de nombreuses façons de tester la sécurité des applications, notamment :

Pourquoi DAST est-il important ?

Le DAST est important car il permet aux développeurs de ne pas se fier uniquement à leurs propres connaissances lors de la création d'applications. En effectuant une analyse DAST pendant le cycle de vie du développement logiciel (SDLC), vous pouvez détecter les vulnérabilités d'une application avant son déploiement public. Si ces vulnérabilités ne sont pas corrigées et que l'application est déployée telle quelle, cela pourrait entraîner une fuite de données, causant d'importantes pertes financières et nuisant à la réputation de votre marque. L'erreur humaine jouera inévitablement un rôle à un moment ou à un autre du cycle de vie du développement logiciel (SDLC), et plus une vulnérabilité est détectée tôt au cours du SDLC, moins sa correction est coûteuse.

Lorsque DAST est inclus dans le pipeline d'intégration continue/développement continu (CI/CD), on parle alors de « DevOps sécurisé » ou de « DevSecOps ».

Comment fonctionne DAST ?

Un scanneur DAST recherche les vulnérabilités dans une application en cours d'exécution, puis envoie des alertes automatisées s'il trouve des failles permettant des attaques telles que les injections SQL, les attaques Cross-Site Scripting (XSS), et plus encore. Les outils DAST étant conçus pour fonctionner dans un environnement dynamique, ils peuvent détecter des défauts d'exécution que les outils SAST ne peuvent pas identifier.

Pour prendre l'exemple d'un bâtiment, un scanneur DAST peut être comparé à un agent de sécurité. Cependant, au lieu de simplement vérifier que les portes et les fenêtres sont verrouillées, ce gardien va plus loin en essayant de pénétrer physiquement dans le bâtiment. Le gardien pourrait essayer de crocheter les serrures des portes ou de briser les vitres. Une fois cet examen terminé, le gardien pouvait faire son rapport au gérant de l'immeuble et expliquer comment il avait réussi à entrer dans le bâtiment. On peut considérer un scanneur DAST de la même manière : il tente activement de trouver les vulnérabilités dans un environnement en cours d'exécution afin que l'équipe DevOps sache où et comment les corriger.

Quel est un outil DAST bien adapté aux développeurs ?

OpenText ™ Fortify ™ WebInspect fournit des tests de sécurité dynamiques automatisés pour les applications afin que vous puissiez analyser et corriger les vulnérabilités exploitables des applications Web.

En règle générale, le DAST est effectué après la production puisqu'il simule des attaques sur une application en cours d'exécution ; mais en décidant de « décaler le DAST vers la gauche » (en l'intégrant plus tôt dans le processus de développement), vous pouvez détecter les vulnérabilités plus tôt, ce qui permet de gagner du temps et de l'argent. Fortify WebInspect inclut des politiques d'analyse prédéfinies, conciliant les besoins de rapidité et les exigences de votre organisation.

Fortify WebInspect inclut également une fonction d'analyse incrémentale, qui vous permet d'évaluer rapidement les vulnérabilités uniquement dans les zones de l'application qui ont changé.

Fortify WebInspect vous permet de :

  • Sécurisez vos opérations DevOps grâce à l'automatisation des DAST.
  • Gérer les risques liés à la sécurité des applications à grande échelle
  • Se conformer aux principales réglementations en matière de sécurité des données
  • Déplacer DAST vers la gauche
  • Explorer les cadres et API modernes
  • Élaborer un programme de sécurité des applications plus robuste

Quelle est la différence entre SAST et DAST ?

DAST attaque l'application « de l'extérieur vers l'intérieur » en attaquant une application comme le ferait un utilisateur malveillant. Une fois qu'un scanneur DAST a effectué ces attaques, il recherche les résultats qui ne font pas partie de l'ensemble de résultats attendus et identifie les vulnérabilités de sécurité.

SAST, par contre, analyse les environnements statiques, c'est-à-dire le code source d'une application. Il examine l'application « de l'intérieur vers l'extérieur », à la recherche de vulnérabilités dans le code.

Pour optimiser votre dispositif de sécurité, il est recommandé d'utiliser à la fois SAST et DAST. Cette taxonomie unifiée, appliquée à toutes les méthodes de test, vous permet d'avoir un aperçu complet des vulnérabilités.

Chez OpenText Fortify...

Nous améliorons votre cycle de vie de développement logiciel (SDLC) grâce aux tests de sécurité dynamique des applications (DAST). Fortify WebInspect fournit la technologie et les rapports dont vous avez besoin pour sécuriser et analyser vos applications. De par sa conception, cet outil et d'autres outils OpenText comblent le fossé entre les technologies existantes et émergentes, ce qui signifie que vous pouvez innover et déployer des applications plus rapidement, avec moins de risques, dans la course à la transformation numérique.

Fortify offre les technologies de test de sécurité statique et dynamique des applications les plus complètes, ainsi que la surveillance et la protection des applications en temps réel, s'appuyant sur une recherche en sécurité de pointe.

Contactez-nous

Contactez-nous pour plus d'informations sur Fortify WebInspect

Contactez-nous

Produits connexes

OpenText ™ Fortify WebInspect

Identifier les vulnérabilités des applications et services Web déployés

OpenText™ Fortify sur demande

Déverrouillez les tests de sécurité, la gestion des failles, ainsi que l'expertise et le soutien sur mesure.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez avec confiance

Voir tous les produits connexes

Comment pouvons-nous vous aider?

Notes de bas de page