DASTが重要なのは、開発者がアプリケーションを構築する際に自分の知識だけに頼る必要がないからです。SDLC の間に DAST を実施することで、アプリケーションの脆弱性を一般に公開される前に発見することができます。このような脆弱性を放置したままアプリをデプロイすると、データ漏洩につながり、大きな金銭的損失やブランドの評判を落とすことになりかねません。ヒューマンエラーは、ソフトウェア開発ライフサイクル（SDLC）のある時点で、必然的にその一端を担うことになります。DAST が継続的インテグレーション/継続的開発（CI/CD）パイプラインの一部として含まれる場合、これは"Secure DevOps、" または" DevSecOps と呼ばれます。"

Q: DASTはどのように機能するのか？

DAST スキャナは、実行中のアプリケーションの脆弱性を検索し、 SQL インジェクション 、クロスサイトスクリプティング（XSS）などの攻撃を可能にする欠陥が見つかった場合、自動アラートを送信します。DASTツールは動的環境で機能するように設計されているため、SASTツールでは特定できない実行時の欠陥を検出することができます。ビルの例で言えば、DASTスキャナは警備員のようなものです。しかし、この警備員はドアや窓の施錠を確認するだけでなく、さらに一歩踏み込んで、建物に物理的に侵入しようとします。警備員はドアの鍵を開けようとするかもしれないし、窓を壊そうとするかもしれません。この検査が終わると、警備員はビル管理者に報告し、どのように侵入できたかを説明することができます。DASTスキャナもこれと同じように考えることができます。DASTスキャナは、実行中の環境の脆弱性を積極的に見つけようとするため、DevOpsチームはどこでどのように修正すべきかを知ることができます。

Q: 開発者に適したDASTツールとは？

OpenText™ Fortify™ WebInspect は、自動化された動的アプリケーションセキュリティテストを提供するため、悪用可能な Web アプリケーションの脆弱性をスキャンして修正することができます。通常、DAST は実行中のアプリケーションに対する攻撃をエミュレートしているため、本番環境の後に行われます。しかし、"DAST left" （DAST を開発プロセスの早い段階で移行する）という決断をすることで、脆弱性をより早く検出することができ、時間とコストを節約することができます。Fortify WebInspect には、あらかじめ構築されたスキャン ポリシーが含まれており、スピードの必要性と組織の要件のバランスをとることができます。また、Fortify WebInspect にはインクリメンタル スキャン機能も含まれており、アプリケーションの変更された部分のみの脆弱性を迅速に評価することができます。Fortify WebInspect を使用すると、次のことが可能になります：自動化された DAST による DevOps の安全性 AppSec リスクの大規模な管理 主要なデータセキュリティ規制へのコンプライアンスの達成 DAST の左遷 最新のフレームワークと API のクロール 強化された AppSec プログラムの構築

Q: SASTとDASTの違いは何ですか？

" DAST は、悪意のあるユーザが行うようにアプリケーションを攻撃することで、"の外側からアプリケーションを攻撃します。DAST スキャナはこれらの攻撃を実行した後、期待された結果セットに含まれない結果を探し、セキュリティの脆弱性を特定します。一方、SASTは静的環境、つまりアプリケーションのソースコードを分析します。"内側から外側からアプリケーションを調べ、" コード内の脆弱性を探します。セキュリティ体制を最大限に強化するには、SASTとDASTの両方を使用するのがベストプラクティスです。このような統一された分類法を持つことで、テスト手法を横断して脆弱性を完全に把握することができます。

概要

動的アプリケーション・セキュリティ・テスト（DAST）は、フロントエンドを通じてウェブアプリケーションを分析し、模擬攻撃を通じて脆弱性を発見するプロセスです。この種のアプローチは、悪意のあるユーザが行うようにアプリケーションを攻撃することで、"外側から "アプリケーションを評価します。DASTスキャナーは、これらの攻撃を実行した後、期待された結果セットに含まれない結果を探し、セキュリティの脆弱性を特定する。

動的アプリケーション・セキュリティ・テスト（DAST）

DASTの長所

アプリケーションに依存しない
悪用される可能性のある脆弱性を即座に見つける
ソースコードにアクセスする必要がない

DASTの短所

コード内の脆弱性の正確な位置を見つけることはできない。
レポートの解釈にはセキュリティの知識が必要
テストには時間がかかる

ITセキュリティの専門家によると、アプリケーションの開発とテストは、組織にとって最も困難なセキュリティ・プロセスであり続けている。開発者は安全なコードを作成するためのソリューションを必要としており、アプリケーション・セキュリティ（AppSec）ツールが活躍する場はそこにある。

AppSec は、アプリケーションのライフサイクル全体を通じて、アプリケーションを脅威から保護することを目的としたプロセス、ツール、および実践の分野である。

アプリケーションのセキュリティをテストする方法はたくさんある：

静的アプリケーション・セキュリティ・テスト（SAST）
動的アプリケーション・セキュリティ・テスト（DAST）
モバイル・アプリケーション・セキュリティ・テスト（MAST）
インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）

なぜDASTが重要なのか？

DASTが重要なのは、開発者がアプリケーションを構築する際に自分の知識だけに頼る必要がないからだ。SDLC の間に DAST を実施することで、公開前にアプリケーションの脆弱性を発見することができます。このような脆弱性を放置したままアプリをデプロイすると、データ漏洩につながり、大きな金銭的損失やブランドの評判を落とすことになりかねません。ヒューマンエラーは、ソフトウェア開発ライフサイクル（SDLC）のどこかの時点で、必然的にその一端を担うことになり、脆弱性がSDLCの間に早く発見されればされるほど、修正にかかる費用は安くなります。

DASTが継続的インテグレーション/継続的開発（CI/CD）パイプラインの一部として含まれる場合、これは「セキュアDevOps」または「DevSecOps」と呼ばれる。

DASTはどのように機能するのか？

DASTスキャナは、実行中のアプリケーションの脆弱性を検索し、SQLインジェクション、クロスサイトスクリプティング（XSS）などの攻撃を可能にする欠陥が見つかった場合、自動アラートを送信します。DASTツールは動的環境で機能するように設計されているため、SASTツールでは特定できない実行時の欠陥を検出することができる。

ビルの例で言えば、DASTスキャナーは警備員のようなものだ。しかし、この警備員はドアや窓の施錠を確認するだけでなく、さらに一歩踏み込んで、建物に物理的に侵入しようとする。警備員はドアの鍵を開けようとするかもしれないし、窓を壊そうとするかもしれない。この検査が終わると、警備員はビル管理者に報告し、どのようにして侵入できたかを説明することができる。DASTスキャナもこれと同じように考えることができる。DASTスキャナは、実行中の環境の脆弱性を積極的に見つけようとするので、DevOpsチームはどこでどのように修正すべきかを知ることができる。

開発者に適したDASTツールとは？

OpenText™ Fortify™ WebInspectは、自動化された動的アプリケーション・セキュリティ・テストを提供するため、悪用可能な Web アプリケーションの脆弱性をスキャンして修正することができます。

一般的に、DASTは実行中のアプリケーションに対する攻撃をエミュレートするため、本番稼動後に行われます。しかし、「DASTを左にシフトする」（DASTを開発プロセスの早い段階に移す）という決断をすることで、脆弱性をより早く検出できるようになり、時間とコストの節約につながります。Fortify WebInspect には、あらかじめ構築されたスキャンポリシーが含まれており、スピードの必要性と組織の要件のバランスをとることができます。

また、Fortify WebInspect にはインクリメンタル・スキャン機能があり、アプリケーションの変更箇所のみの脆弱性を迅速に評価することができます。

Fortify WebInspectでは、以下のことが可能です：

自動化されたDASTによる安全なDevOps
規模に応じたAppSecリスクの管理
主要なデータセキュリティ規制への準拠
DASTを左にシフト
最新のフレームワークとAPIをクロールする
より強力なAppSecプログラムの構築

SASTとDASTの違いは何ですか？

DASTは、悪意のあるユーザーと同じようにアプリケーションを攻撃することで、アプリケーションを「外側から」攻撃します。DASTスキャナーは、これらの攻撃を実行した後、期待された結果セットに含まれない結果を探し、セキュリティの脆弱性を特定する。

一方、SASTは静的環境、つまりアプリケーションのソースコードを分析する。アプリケーションを "内部から "見て、コードの脆弱性を探すのだ。

セキュリティ体制を最大限に強化するには、SASTとDASTの両方を使用するのがベストプラクティスです。このように、テスト手法全体にわたって統一された分類法を持つことで、脆弱性を完全に把握することができる。

オープンテキストのフォーティファイ...

ダイナミック・アプリケーション・セキュリティ・テスト（DAST）でSDLCを改善します。Fortify WebInspect は、アプリケーションのセキュリティ保護と分析に必要な技術とレポートを提供します。つまり、デジタルトランスフォーメーションに向けた競争の中で、より少ないリスクで、より迅速にイノベーションを起こし、アプリケーションを提供することができるのです。

Fortifyは、業界をリードするセキュリティ研究に裏打ちされた、最も包括的な静的および動的アプリケーションセキュリティテスト技術と、ランタイムアプリケーションモニタリングおよび保護を提供します。

お問い合わせ

Fortify WebInspect の詳細についてはお問い合わせください。

お問い合わせ