OpenText-Startseite.
Technische Themen

Was ist Dynamic Application Security Testing (DAST)?

Illustration von IT-Elementen mit Schwerpunkt auf einem Fragezeichen

Übersicht

Beim Dynamic Application Security Testing(DAST) wird eine Webanwendung über das Front-End analysiert, um durch simulierte Angriffe Schwachstellen zu finden. Bei dieser Art von Ansatz wird die Anwendung von außen nach innen" bewertet, indem die Anwendung wie ein böswilliger Benutzer angegriffen wird. Nachdem ein DAST-Scanner diese Angriffe durchgeführt hat, sucht er nach Ergebnissen, die nicht Teil der erwarteten Ergebnismenge sind, und identifiziert Sicherheitslücken.

Dynamische Anwendungssicherheitstests (DAST)

Vorteile von DAST

  • Unabhängig von der Anwendung
  • Findet sofort Schwachstellen, die ausgenutzt werden könnten
  • Erfordert keinen Zugriff auf den Quellcode

Nachteile von DAST

  • Findet nicht die genaue Stelle einer Sicherheitslücke im Code
  • Für die Interpretation der Berichte sind Sicherheitskenntnisse erforderlich.
  • Test kann zeitaufwendig sein

Die Entwicklung und das Testen von Anwendungen ist nach Ansicht von IT-Sicherheitsexperten nach wie vor der schwierigste Sicherheitsprozess für Unternehmen. Entwickler benötigen Lösungen, die sie bei der Erstellung von sicherem Code unterstützen, und hier kommen die Tools für Anwendungssicherheit (AppSec) ins Spiel.

AppSec ist die Disziplin der Prozesse, Tools und Praktiken, die darauf abzielen, Anwendungen während des gesamten Anwendungslebenszyklus vor Bedrohungen zu schützen.

Es gibt viele Möglichkeiten, die Sicherheit von Anwendungen zu testen, unter anderem:

Warum ist DAST wichtig?

DAST ist wichtig, weil sich Entwickler bei der Erstellung von Anwendungen nicht nur auf ihr eigenes Wissen verlassen müssen. Durch die Durchführung von DAST während des SDLC können Sie Schwachstellen in einer Anwendung aufspüren, bevor diese der Öffentlichkeit zur Verfügung gestellt wird. Wenn diese Schwachstellen nicht behoben werden und die App als solche eingesetzt wird, kann dies zu einer Datenschutzverletzung führen, die große finanzielle Verluste und eine Schädigung des Rufs Ihrer Marke zur Folge hat. Menschliches Versagen spielt im Lebenszyklus der Softwareentwicklung (SDLC) unweigerlich eine Rolle, und je früher eine Schwachstelle während des SDLC erkannt wird, desto kostengünstiger ist sie zu beheben.

Wenn DAST in die Continuous Integration/Continuous Development (CI/CD)-Pipeline integriert wird, spricht man von "Secure DevOps" oder "DevSecOps".

Wie funktioniert DAST?

Ein DAST-Scanner sucht nach Schwachstellen in einer laufenden Anwendung und sendet dann automatische Warnungen, wenn er Schwachstellen findet, die Angriffe wie SQL-Injektionen, Cross-Site Scripting (XSS) und andere ermöglichen. Da DAST-Tools für eine dynamische Umgebung ausgelegt sind, können sie Laufzeitfehler aufdecken, die SAST-Tools nicht erkennen können.

Am Beispiel eines Gebäudes kann man sich einen DAST-Scanner wie einen Wachmann vorstellen. Anstatt sich jedoch nur zu vergewissern, dass die Türen und Fenster verschlossen sind, geht dieser Wachmann noch einen Schritt weiter und versucht, physisch in das Gebäude einzubrechen. Der Wachmann könnte versuchen, die Schlösser an den Türen zu knacken oder Fenster einzuschlagen. Nach Abschluss dieser Untersuchung könnte der Wachmann dem Gebäudeverwalter Bericht erstatten und erklären, wie er in das Gebäude eindringen konnte. Ein DAST-Scanner kann auf die gleiche Weise betrachtet werden - er versucht aktiv, Schwachstellen in einer laufenden Umgebung zu finden, so dass das DevOps-Team weiß, wo und wie es diese beheben kann.

Welches DAST-Tool ist für Entwickler gut geeignet?

OpenText™ Fortify™ WebInspect bietet automatisiertes dynamisches Testen der Anwendungssicherheit, damit Sie ausnutzbare Schwachstellen in Webanwendungen scannen und beheben können.

Normalerweise wird DAST nach der Produktion durchgeführt, da Angriffe auf eine laufende Anwendung emuliert werden. Wenn Sie jedoch die Entscheidung treffen, DAST nach links zu verlagern (DAST zu einem früheren Zeitpunkt im Entwicklungsprozess), können Sie Schwachstellen früher erkennen, was Zeit und Geld spart. Fortify WebInspect enthält vorgefertigte Scan-Richtlinien, die den Bedarf an Geschwindigkeit mit den Anforderungen Ihres Unternehmens in Einklang bringen.

Fortify WebInspect enthält auch eine Funktion für inkrementelles Scannen, mit der Sie schnell Schwachstellen nur in den Bereichen der Anwendung bewerten können, die sich geändert haben.

Fortify WebInspect ermöglicht es Ihnen:

  • Sichere DevOps mit automatisiertem DAST
  • AppSec-Risiken in großem Umfang verwalten
  • Einhaltung der wichtigsten Datensicherheitsvorschriften
  • DAST nach links verschieben
  • Crawlen moderner Frameworks und APIs
  • Aufbau eines stärkeren AppSec-Programms

Was ist der Unterschied zwischen SAST und DAST?

DAST greift die Anwendung von außen an, indem es eine Anwendung wie ein böswilliger Benutzer angreift. Nachdem ein DAST-Scanner diese Angriffe durchgeführt hat, sucht er nach Ergebnissen, die nicht Teil der erwarteten Ergebnismenge sind, und identifiziert Sicherheitslücken.

SAST hingegen analysiert statische Umgebungen, also den Quellcode einer Anwendung. Es betrachtet die Anwendung von innen heraus" und sucht nach Schwachstellen im Code.

Um die Stärke Ihrer Sicherheitsvorkehrungen zu maximieren, empfiehlt es sich, sowohl SAST als auch DAST zu verwenden. Mit dieser einheitlichen Taxonomie für alle Testmethoden erhalten Sie einen vollständigen Überblick über die Schwachstellen.

Bei OpenText Fortify...

Wir verbessern Ihren SDLC mit Dynamic Application Security Testing (DAST). Fortify WebInspect bietet die Technologie und das Reporting, die Sie für die Sicherung und Analyse Ihrer Anwendungen benötigen. Diese und andere OpenText-Tools schließen die Lücke zwischen bestehenden und neuen Technologien. Das bedeutet, dass Sie im Wettlauf um die digitale Transformation schneller und mit weniger Risiko innovative Anwendungen entwickeln und bereitstellen können.

Fortify bietet die umfassendsten statischen und dynamischen Technologien zum Testen der Anwendungssicherheit sowie Anwendungsüberwachung und -schutz zur Laufzeit, gestützt durch branchenführende Sicherheitsforschung.

Kontaktieren Sie uns

Kontaktieren Sie uns für weitere Informationen über Fortify WebInspect

Kontaktieren Sie uns

Verwandte Produkte

OpenText™ Fortify WebInspect

Identifizieren Sie Schwachstellen in bereitgestellten Webanwendungen und Services

OpenText™ Fortify on Demand

Profitieren Sie von Sicherheitstests, Schwachstellenverwaltung, spezifischer Expertise und Support

OpenText™ Cybersecurity Cloud

Verteidigen Sie sich präzise, sichern Sie sich zuverlässig

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten