DAST 扫描仪会搜索正在运行的应用程序中的漏洞，如果发现允许 SQL 注入 、跨站脚本 (XSS) 等攻击的漏洞，就会自动发出警报。由于 DAST 工具具备在动态环境中运行的功能，因此可以检测到 SAST 工具无法识别的运行时缺陷。以建筑物为例，DAST 扫描仪就好比一个保安员。然而，这名警卫并没有仅仅确保门窗上锁，而是更进一步，试图破门而入。警卫可能会试图撬开门锁或打破窗户。完成检查后，警卫可以向大楼经理汇报，并解释他是如何闯入大楼的。DAST 扫描仪也可以这样理解：它会主动尝试查找运行环境中的漏洞，以便 DevOps 团队知道在哪里以及如何修复这些漏洞。

Q: 什么是适合开发人员使用的 DAST 工具？

OpenText™ Fortify™ WebInspect 提供自动动态应用程序安全测试，以便您扫描和修复可利用的网络应用程序漏洞。通常情况下，DAST 是在生产之后进行的，因为它是在模拟对运行中应用程序的攻击；但如果决定"Shift DAST left" （将 DAST 移至开发过程的早期），就能尽早发现漏洞，从而节省时间和金钱。Fortify WebInspect 包括预建扫描策略，可在速度需求与组织要求之间取得平衡。Fortify WebInspect 还包括增量扫描功能，可让您仅对应用程序中发生变化的部分快速评估漏洞。Fortify WebInspect 让您能够通过自动化 DAST 确保 DevOps 安全 大规模管理 AppSec 风险 实现符合主要数据安全法规的要求 左移 DAST 抓取现代框架和 API 构建更强大的 AppSec 计划

Q: SAST 和 DAST 有什么区别？

DAST 通过像恶意用户一样攻击应用程序，从"外部攻击应用程序，" 。DAST 扫描仪执行这些攻击后，会查找不属于预期结果集的结果，并找出安全漏洞。另一方面，SAST 分析的是静态环境，即应用程序的源代码。"" 查找代码中的漏洞。为了最大限度地加强安全态势，最佳做法是同时使用 SAST 和 DAST。有了这种跨测试方法的统一分类法，您就能全面了解漏洞。

概述

动态应用程序安全测试(DAST) 是通过前端分析网络应用程序，通过模拟攻击发现漏洞的过程。这种方法通过像恶意用户一样攻击应用程序，从 "外部 "对应用程序进行评估。DAST 扫描仪执行这些攻击后，会查找不属于预期结果集的结果，并找出安全漏洞。

动态应用安全测试 (DAST)

DAST 的优点

独立于应用程序
立即发现可被利用的漏洞
无需访问源代码

DAST 的缺点

无法找到代码中漏洞的确切位置
解读报告需要安全知识
测试耗时

IT 安全专业人士认为，应用程序开发和测试仍然是企业最具挑战性的安全流程。开发人员需要解决方案来帮助他们创建安全的代码，这就是应用安全（AppSec）工具发挥作用的地方。

AppSec 是一门流程、工具和实践的学科，旨在保护应用程序在整个应用生命周期中免受威胁。

测试应用程序安全性的方法有很多，包括

静态应用程序安全测试 (SAST)
动态应用安全测试 (DAST)
移动应用安全测试 (MAST)
交互式应用程序安全测试 (IAST)

DAST 为何重要？

DAST 的重要性在于，开发人员在构建应用程序时不必完全依赖自己的知识。通过在 SDLC 期间开展 DAST，您可以在向公众部署应用程序之前捕捉到其中的漏洞。如果不检查这些漏洞，就这样部署应用程序，可能会导致数据泄露，造成重大经济损失和品牌声誉受损。在软件开发生命周期（SDLC）的某个阶段，人为错误不可避免地会发挥作用，而在 SDLC 期间越早发现漏洞，修复成本就越低。

当 DAST 作为持续集成/持续开发（CI/CD）管道的一部分时，这被称为 "安全 DevOps "或 "DevSecOps"。

DAST 如何工作？

DAST 扫描仪会搜索正在运行的应用程序中的漏洞，如果发现允许SQL 注入、跨站脚本 (XSS) 等攻击的漏洞，就会自动发出警报。由于 DAST 工具具备在动态环境中运行的功能，因此可以检测到 SAST 工具无法识别的运行时缺陷。

以建筑物为例，DAST 扫描仪就好比一个保安员。然而，这名警卫并没有仅仅确保门窗上锁，而是更进一步，试图破门而入。警卫可能会试图撬开门锁或打破窗户。完成检查后，警卫可以向大楼经理汇报，并解释他是如何闯入大楼的。DAST 扫描仪也可以这样理解：它会主动尝试查找运行环境中的漏洞，以便 DevOps 团队知道在哪里以及如何修复这些漏洞。

什么是适合开发人员使用的 DAST 工具？

OpenText™ Fortify™ WebInspect提供自动动态应用程序安全测试，以便您扫描和修复可利用的网络应用程序漏洞。

通常情况下，DAST 是在生产之后进行的，因为它是在模拟对正在运行的应用程序的攻击；但如果决定 "左移 DAST"（将 DAST 移到开发过程的早期），就能更早地发现漏洞，从而节省时间和金钱。Fortify WebInspect 包括预建扫描策略，可在速度需求与组织要求之间取得平衡。

Fortify WebInspect 还包括增量扫描功能，可让您仅对应用程序中发生变化的部分快速评估漏洞。

Fortify WebInspect 允许您

利用自动化 DAST 确保 DevOps 安全
大规模管理 AppSec 风险
遵守主要数据安全法规
左移 DAST
抓取现代框架和应用程序接口
建立更强大的 AppSec 计划

SAST 和 DAST 有什么区别？

DAST 通过像恶意用户一样攻击应用程序，从 "外部 "攻击应用程序。DAST 扫描仪执行这些攻击后，会查找不属于预期结果集的结果，并找出安全漏洞。

另一方面，SAST 分析的是静态环境，即应用程序的源代码。它 "由内而外 "地检查应用程序，搜索代码中的漏洞。

为了最大限度地加强安全态势，最佳做法是同时使用 SAST 和 DAST。有了这种跨测试方法的统一分类法，您就能全面了解漏洞。

在 OpenText Fortify...

我们通过动态应用程序安全测试 (DAST) 改进您的 SDLC。Fortify WebInspect 为您提供保护和分析应用程序所需的技术和报告。根据设计，这款工具和 OpenText 的其他工具可以弥合现有技术和新兴技术之间的差距，这意味着您可以在数字化转型的竞争中，以更低的风险更快地创新和交付应用程序。

Fortify 以业界领先的安全研究为后盾，提供最全面的静态和动态应用程序安全测试技术，以及运行时应用程序监控和保护。

联系我们

联系我们了解有关 Fortify WebInspect 的更多信息

联系我们