Página de inicio de OpenText.
Temas técnicos

¿Qué son las pruebas dinámicas de seguridad de las aplicaciones (DAST)?

Ilustración de elementos informáticos centrados en un signo de interrogación

Descripción general

Las pruebas dinámicas de seguridad de aplicaciones(DAST) son el proceso de análisis de una aplicación web a través del front-end para encontrar vulnerabilidades mediante ataques simulados. Este tipo de enfoque evalúa la aplicación desde "fuera hacia dentro" atacando una aplicación como lo haría un usuario malicioso. Después de que un escáner DAST realiza estos ataques, busca resultados que no formen parte del conjunto de resultados esperado e identifica vulnerabilidades de seguridad.

Pruebas dinámicas de seguridad de las aplicaciones (DAST)

Ventajas de DAST

  • Independiente de la aplicación
  • Detecta inmediatamente vulnerabilidades que podrían ser explotadas
  • No requiere acceso al código fuente

Contras de DAST

  • No encuentra la ubicación exacta de una vulnerabilidad en el código
  • Se necesitan conocimientos de seguridad para interpretar los informes
  • Las pruebas pueden llevar mucho tiempo

Según los profesionales de la seguridad informática, el desarrollo y la comprobación de aplicaciones sigue siendo el proceso de seguridad más difícil para las organizaciones. Los desarrolladores necesitan soluciones que les ayuden a crear código seguro, y ahí es donde entran en juego las herramientas de seguridad de aplicaciones (AppSec).

AppSec es la disciplina de procesos, herramientas y prácticas cuyo objetivo es proteger las aplicaciones de las amenazas a lo largo de todo su ciclo de vida.

Hay muchas formas de probar la seguridad de las aplicaciones, entre ellas:

¿Por qué es importante el DAST?

DAST es importante porque los desarrolladores no tienen que confiar únicamente en sus propios conocimientos a la hora de crear aplicaciones. Mediante la realización de DAST durante el SDLC, puede detectar vulnerabilidades en una aplicación antes de que se despliegue al público. Si estas vulnerabilidades no se comprueban y la aplicación se despliega como tal, podría producirse una filtración de datos, con importantes pérdidas económicas y daños a la reputación de su marca. El error humano desempeñará inevitablemente un papel en algún momento del ciclo de vida de desarrollo del software (SDLC), y cuanto antes se detecte una vulnerabilidad durante el SDLC, más barato será solucionarla.

Cuando DAST se incluye como parte del proceso de Integración Continua/Desarrollo Continuo (CI/CD), se habla de "DevOps Seguro" o "DevSecOps".

¿Cómo funciona el DAST?

Un escáner DAST busca vulnerabilidades en una aplicación en ejecución y envía alertas automáticas si encuentra fallos que permiten ataques como inyecciones SQL, Cross-Site Scripting (XSS), etc. Dado que las herramientas DAST están equipadas para funcionar en un entorno dinámico, pueden detectar fallos en tiempo de ejecución que las herramientas SAST no pueden identificar.

Utilizando el ejemplo de un edificio, un escáner DAST puede considerarse como un guardia de seguridad. Sin embargo, en lugar de limitarse a asegurarse de que las puertas y ventanas están cerradas, este vigilante va un paso más allá e intenta entrar físicamente en el edificio. El guardia puede intentar forzar las cerraduras de las puertas o romper las ventanas. Una vez finalizado este examen, el vigilante podría informar al administrador del edificio y dar una explicación de cómo pudo entrar en el edificio. Un escáner DAST puede considerarse de la misma manera: intenta encontrar vulnerabilidades en un entorno en ejecución para que el equipo de DevOps sepa dónde y cómo solucionarlas.

¿Qué herramienta DAST se adapta bien a los desarrolladores?

OpenText™ Fortify™ WebInspect proporciona pruebas de seguridad de aplicaciones dinámicas automatizadas para que pueda escanear y corregir las vulnerabilidades explotables de las aplicaciones web.

Normalmente, el DAST se realiza después de la producción, ya que está emulando ataques en una aplicación en ejecución; pero al tomar la decisión de "Desplazar el DAST a la izquierda" (mover el DAST antes en el proceso de desarrollo) se pueden detectar vulnerabilidades antes, lo que ahorra tiempo y dinero. Fortify WebInspect incluye políticas de escaneado predefinidas que equilibran la necesidad de velocidad con sus requisitos organizativos.

Fortify WebInspect también incluye una función de exploración incremental, que permite evaluar rápidamente las vulnerabilidades sólo en las áreas de la aplicación que han cambiado.

Fortify WebInspect le permite:

  • DevOps seguro con DAST automatizado
  • Gestione el riesgo de AppSec a escala
  • Cumplir las principales normativas sobre seguridad de datos
  • Desplazar DAST a la izquierda
  • Rastreo de marcos y API modernos
  • Cree un programa AppSec más sólido

¿Cuál es la diferencia entre SAST y DAST?

DAST ataca la aplicación desde "fuera hacia dentro", atacando una aplicación como lo haría un usuario malicioso. Después de que un escáner DAST realiza estos ataques, busca resultados que no formen parte del conjunto de resultados esperado e identifica vulnerabilidades de seguridad.

SAST, por su parte, analiza entornos estáticos, es decir, el código fuente de una aplicación. Examina la aplicación "desde dentro", buscando vulnerabilidades en el código.

Para maximizar la solidez de su postura de seguridad, es una práctica recomendada utilizar tanto SAST como DAST. Disponer de esta taxonomía unificada en todos los métodos de prueba le permite tener una visión completa de las vulnerabilidades.

En OpenText Fortify...

Mejoramos su SDLC con Dynamic Application Security Testing (DAST). Fortify WebInspect proporciona la tecnología y los informes que necesita para proteger y analizar sus aplicaciones. Por su diseño, esta y otras herramientas de OpenText tienden un puente entre las tecnologías existentes y las emergentes, lo que significa que puede innovar y ofrecer aplicaciones más rápidamente, con menos riesgos, en la carrera hacia la transformación digital.

Fortify ofrece las tecnologías de pruebas de seguridad de aplicaciones estáticas y dinámicas más completas, junto con supervisión y protección de aplicaciones en tiempo de ejecución, respaldadas por investigaciones de seguridad líderes en el sector.

Póngase en contacto con nosotros

Póngase en contacto con nosotros para obtener más información sobre Fortify WebInspect

Póngase en contacto con nosotros

Productos relacionados

OpenText™ Fortify WebInspect

Identificación de vulnerabilidades en aplicaciones y servicios web desplegados

OpenText™ Fortify on Demand

Desbloquee las pruebas de seguridad, la gestión de vulnerabilidades y la experiencia y el soporte personalizados

OpenText™ Cybersecurity Cloud

Defiende con precisión, asegura con confianza

Ver todos los productos relacionados

¿Cómo podemos ayudar?

Notas al pie