Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que l'examen dynamique de la sécurité des applications (DAST) ?

Illustration des éléments informatiques avec un point d'interrogation en point de mire

Présentation

Le test dynamique de la sécurité des applications(DAST) est le processus d'analyse d'une application web par le biais de l'interface utilisateur afin de trouver les vulnérabilités par le biais d'attaques simulées. Ce type d'approche évalue l'application de l'extérieur en l'attaquant comme le ferait un utilisateur malveillant. Lorsqu'un scanner DAST exécute ces attaques, il recherche les résultats qui ne font pas partie de l'ensemble des résultats attendus et identifie les failles de sécurité.

Test dynamique de la sécurité des applications (DAST)

Avantages de DAST

  • Indépendant de l'application
  • Détecte immédiatement les vulnérabilités susceptibles d'être exploitées.
  • Ne nécessite pas d'accès au code source

Les inconvénients de DAST

  • Ne permet pas de trouver l'emplacement exact d'une vulnérabilité dans le code
  • Des connaissances en matière de sécurité sont nécessaires pour interpréter les rapports
  • Le test peut prendre beaucoup de temps

Selon les professionnels de la sécurité informatique, le développement et le test d'applications restent le processus de sécurité le plus difficile pour les entreprises. Les développeurs ont besoin de solutions pour les aider à créer un code sécurisé, et c'est là que les outils de sécurité des applications (AppSec) entrent en jeu.

L'AppSec est la discipline des processus, des outils et des pratiques visant à protéger les applications contre les menaces tout au long de leur cycle de vie.

Il existe de nombreuses façons de tester la sécurité d'une application :

Pourquoi DAST est-il important ?

DAST est important parce que les développeurs ne doivent pas compter uniquement sur leurs propres connaissances lorsqu'ils créent des applications. En effectuant des DAST au cours du cycle de développement durable, vous pouvez détecter les vulnérabilités d'une application avant qu'elle ne soit déployée dans le public. Si ces vulnérabilités ne sont pas corrigées et que l'application est déployée en tant que telle, une violation de données peut se produire, entraînant des pertes financières importantes et une atteinte à la réputation de votre marque. L'erreur humaine jouera inévitablement un rôle à un moment ou à un autre du cycle de vie du développement logiciel (SDLC), et plus tôt une vulnérabilité est détectée au cours du SDLC, moins il est coûteux de la corriger.

Lorsque DAST est inclus dans le pipeline d'intégration et de développement continus (CI/CD), on parle de "Secure DevOps" ou "DevSecOps".

Comment fonctionne DAST ?

Un scanner DAST recherche des vulnérabilités dans une application en cours d'exécution et envoie ensuite des alertes automatisées s'il trouve des failles permettant des attaques telles que des injections SQL, des scripts intersites (XSS), etc. Les outils DAST étant équipés pour fonctionner dans un environnement dynamique, ils peuvent détecter des défauts d'exécution que les outils SAST ne peuvent pas identifier.

Pour reprendre l'exemple d'un bâtiment, un scanner DAST peut être assimilé à un agent de sécurité. Cependant, au lieu de s'assurer que les portes et les fenêtres sont bien verrouillées, ce garde va plus loin en tentant de s'introduire physiquement dans le bâtiment. Le gardien peut essayer de forcer les serrures des portes ou de briser les fenêtres. Une fois cet examen terminé, le garde peut faire un rapport au gestionnaire du bâtiment et expliquer comment il a pu s'introduire dans le bâtiment. Un scanner DAST peut être considéré de la même manière - il tente activement de trouver des vulnérabilités dans un environnement en cours d'exécution afin que l'équipe DevOps sache où et comment les corriger.

Quel est l'outil DAST qui convient le mieux aux développeurs ?

OpenText™ Fortify™ WebInspect fournit des tests dynamiques automatisés de sécurité des applications afin que vous puissiez analyser et corriger les vulnérabilités exploitables des applications web.

Généralement, le DAST est effectué après la production puisqu'il émule des attaques sur une application en cours d'exécution ; mais en prenant la décision de "déplacer le DAST vers la gauche" (en déplaçant le DAST plus tôt dans le processus de développement), vous êtes en mesure de détecter les vulnérabilités plus tôt, ce qui vous permet d'économiser du temps et de l'argent. Fortify WebInspect comprend des politiques d'analyse prédéfinies, équilibrant le besoin de rapidité avec vos exigences organisationnelles.

Fortify WebInspect comprend également une fonction d'analyse incrémentielle qui permet d'évaluer rapidement les vulnérabilités dans les seules zones de l'application qui ont été modifiées.

Fortify WebInspect vous permet de :

  • Sécuriser DevOps avec DAST automatisé
  • Gérer les risques AppSec à grande échelle
  • Se conformer aux principales réglementations en matière de sécurité des données
  • Décaler DAST vers la gauche
  • Explorer les cadres et les API modernes
  • Renforcer le programme AppSec

Quelle est la différence entre SAST et DAST ?

DAST attaque l'application de l'extérieur vers l'intérieur en s'attaquant à une application comme le ferait un utilisateur malveillant. Lorsqu'un scanner DAST exécute ces attaques, il recherche les résultats qui ne font pas partie de l'ensemble des résultats attendus et identifie les failles de sécurité.

SAST, quant à lui, analyse les environnements statiques, c'est-à-dire le code source d'une application. Il examine l'application de l'intérieur, à la recherche de vulnérabilités dans le code.

Pour renforcer au maximum votre dispositif de sécurité, il est recommandé d'utiliser à la fois SAST et DAST. Le fait de disposer de cette taxonomie unifiée pour toutes les méthodes de test vous permet d'avoir une vue d'ensemble des vulnérabilités.

Chez OpenText Fortify...

Nous améliorons votre SDLC avec le Dynamic Application Security Testing (DAST). Fortify WebInspect fournit la technologie et les rapports dont vous avez besoin pour sécuriser et analyser vos applications. De par leur conception, ces outils et d'autres outils OpenText comblent le fossé entre les technologies existantes et émergentes, ce qui signifie que vous pouvez innover et fournir des applications plus rapidement, avec moins de risques, dans la course à la transformation numérique.

Fortify propose les technologies de test de sécurité des applications statiques et dynamiques les plus complètes, ainsi qu'une surveillance et une protection des applications en cours d'exécution, étayées par une recherche de pointe en matière de sécurité.

Contactez-nous

Contactez-nous pour plus d'informations sur Fortify WebInspect

Contactez-nous

Produits associés

OpenText™ Fortify WebInspect

Identifiez les vulnérabilités des applications et services web déployés.

OpenText™ Fortify on Demand

Bénéficiez de tests de sécurité, d'une gestion des failles, ainsi que d'une expertise et d'une assistance sur mesure.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez en toute confiance

Voir tous les produits apparentés

Comment pouvons-nous vous aider ?

Notes de bas de page