OpenText-Startseite.
Technische Themen

Was ist Dynamic Application Security Testing (DAST)?

Entdecken Sie unsere verwandten Produkte
Illustration von IT-Elementen mit Schwerpunkt auf einem Fragezeichen

DAST erklärt

Beim Dynamic Application Security Testing(DAST) wird eine Webanwendung über das Front-End analysiert, um durch simulierte Angriffe Schwachstellen zu finden. Bei dieser Art von Ansatz wird die Anwendung von außen nach innen" bewertet, indem die Anwendung wie ein böswilliger Benutzer angegriffen wird. Nachdem ein DAST-Scanner diese Angriffe durchgeführt hat, sucht er nach Ergebnissen, die nicht Teil der erwarteten Ergebnismenge sind, und identifiziert Sicherheitslücken.

Dynamische Anwendungssicherheitstests (DAST)

Vorteile von DAST

  • Unabhängig von der Anwendung
  • Findet sofort Schwachstellen, die ausgenutzt werden könnten
  • Erfordert keinen Zugriff auf den Quellcode

Nachteile von DAST

  • Findet nicht die genaue Stelle einer Sicherheitslücke im Code
  • Für die Interpretation der Berichte sind Sicherheitskenntnisse erforderlich.
  • Test kann zeitaufwendig sein

Die Entwicklung und das Testen von Anwendungen ist nach Ansicht von IT-Sicherheitsexperten nach wie vor der schwierigste Sicherheitsprozess für Unternehmen. Entwickler benötigen Lösungen, die sie bei der Erstellung von sicherem Code unterstützen, und hier kommen die Tools für Anwendungssicherheit (AppSec) ins Spiel.

AppSec ist die Disziplin der Prozesse, Tools und Praktiken, die darauf abzielen, Anwendungen während des gesamten Anwendungslebenszyklus vor Bedrohungen zu schützen.

Es gibt viele Möglichkeiten, die Sicherheit von Anwendungen zu testen, unter anderem:

Warum ist DAST wichtig?

DAST ist wichtig, weil sich Entwickler bei der Erstellung von Anwendungen nicht nur auf ihr eigenes Wissen verlassen müssen. Durch die Durchführung von DAST während des SDLC können Sie Schwachstellen in einer Anwendung aufspüren, bevor diese der Öffentlichkeit zur Verfügung gestellt wird. Wenn diese Schwachstellen nicht behoben werden und die App als solche eingesetzt wird, kann dies zu einer Datenschutzverletzung führen, die große finanzielle Verluste und eine Schädigung des Rufs Ihrer Marke zur Folge hat. Menschliches Versagen spielt im Lebenszyklus der Softwareentwicklung (SDLC) unweigerlich eine Rolle, und je früher eine Schwachstelle während des SDLC erkannt wird, desto kostengünstiger ist sie zu beheben.

Wenn DAST in die Continuous Integration/Continuous Development (CI/CD)-Pipeline integriert wird, spricht man von "Secure DevOps" oder "DevSecOps".

Wie funktioniert DAST?

Ein DAST-Scanner sucht nach Schwachstellen in einer laufenden Anwendung und sendet dann automatische Warnungen, wenn er Schwachstellen findet, die Angriffe wie SQL-Injektionen, Cross-Site Scripting (XSS) und andere ermöglichen. Da DAST-Tools für eine dynamische Umgebung ausgelegt sind, können sie Laufzeitfehler aufdecken, die SAST-Tools nicht erkennen können.

Am Beispiel eines Gebäudes kann man sich einen DAST-Scanner wie einen Wachmann vorstellen. Anstatt sich jedoch nur zu vergewissern, dass die Türen und Fenster verschlossen sind, geht dieser Wachmann noch einen Schritt weiter und versucht, physisch in das Gebäude einzubrechen. Der Wachmann könnte versuchen, die Schlösser an den Türen zu knacken oder Fenster einzuschlagen. Nach Abschluss dieser Untersuchung könnte der Wachmann dem Gebäudeverwalter Bericht erstatten und erklären, wie er in das Gebäude eindringen konnte. Ein DAST-Scanner kann auf die gleiche Weise betrachtet werden - er versucht aktiv, Schwachstellen in einer laufenden Umgebung zu finden, so dass das DevOps-Team weiß, wo und wie es diese beheben kann.

Welches DAST-Tool ist für Entwickler gut geeignet?

OpenText™ Fortify™ DAST bietet automatisierte dynamische Sicherheitstests für Anwendungen, mit denen Sie ausnutzbare Schwachstellen in Webanwendungen scannen und beheben können.

Normalerweise wird die DAST erst nach der Produktion durchgeführt, da sie Angriffe auf eine laufende Anwendung emuliert. Wenn Sie jedoch die Entscheidung treffen, die DAST nach links zu verschieben (d.h. die DAST früher in den Entwicklungsprozess zu verlegen), können Sie Schwachstellen früher erkennen, was Zeit und Geld spart. Fortify DAST enthält vorgefertigte Scan-Richtlinien, die den Bedarf an Geschwindigkeit mit Ihren organisatorischen Anforderungen in Einklang bringen.

Fortify DAST enthält auch eine Funktion zum inkrementellen Scannen, mit der Sie schnell die Schwachstellen in den Bereichen der Anwendung bewerten können, die sich geändert haben.

Fortify DAST ermöglicht es Ihnen:

  • Sichere DevOps mit automatisiertem DAST
  • AppSec-Risiken in großem Umfang verwalten
  • Einhaltung der wichtigsten Datensicherheitsvorschriften
  • DAST nach links verschieben
  • Crawlen moderner Frameworks und APIs
  • Aufbau eines stärkeren AppSec-Programms

Was ist der Unterschied zwischen SAST und DAST?

DAST greift die Anwendung von außen an, indem es eine Anwendung wie ein böswilliger Benutzer angreift. Nachdem ein DAST-Scanner diese Angriffe durchgeführt hat, sucht er nach Ergebnissen, die nicht Teil der erwarteten Ergebnismenge sind, und identifiziert Sicherheitslücken.

SAST hingegen analysiert statische Umgebungen, also den Quellcode einer Anwendung. Es betrachtet die Anwendung von innen heraus" und sucht nach Schwachstellen im Code.

Um die Stärke Ihrer Sicherheitsvorkehrungen zu maximieren, empfiehlt es sich, sowohl SAST als auch DAST zu verwenden. Mit dieser einheitlichen Taxonomie für alle Testmethoden erhalten Sie einen vollständigen Überblick über die Schwachstellen.

Bei OpenText Fortify...

Wir verbessern Ihren SDLC mit Dynamic Application Security Testing (DAST). Fortify DAST bietet Ihnen die Technologie und die Berichte, die Sie zur Sicherung und Analyse Ihrer Anwendungen benötigen. Diese und andere OpenText-Tools überbrücken die Lücke zwischen bestehenden und neuen Technologien. Das bedeutet, dass Sie im Wettlauf um die digitale Transformation schneller und mit geringerem Risiko innovative Anwendungen entwickeln und bereitstellen können.

OpenText bietet die umfassendsten Technologien zum Testen der statischen und dynamischen Anwendungssicherheit sowie Anwendungsüberwachung und -schutz zur Laufzeit, gestützt durch branchenführende Sicherheitsforschung.

Kontaktieren Sie uns

Kontaktieren Sie uns für weitere Informationen über Fortify DAST

Kontaktieren Sie uns

Verwandte Produkte

OpenText™ Fortify™ DAST

Laufende Tests von Live-Anwendungen zur Ermittlung realer Schwachstellen

OpenText™ Fortify™ On Demand

Profitieren Sie von Sicherheitstests, Schwachstellenverwaltung, spezifischer Expertise und Support

OpenText™ Cybersecurity Cloud

Integrierte Cybersicherheitslösungen für den Schutz von Unternehmen

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten