DASTが重要なのは、開発者がアプリケーションを構築する際に自分の知識だけに頼る必要がないからです。SDLC の間に DAST を実施することで、アプリケーションの脆弱性を一般に公開される前に発見することができます。このような脆弱性を放置したままアプリをデプロイすると、データ漏洩につながり、大きな金銭的損失やブランドの評判を落とすことになりかねません。ヒューマンエラーは、ソフトウェア開発ライフサイクル（SDLC）のある時点で、必然的にその一端を担うことになります。DAST が継続的インテグレーション/継続的開発（CI/CD）パイプラインの一部として含まれる場合、これは"Secure DevOps、" または" DevSecOps と呼ばれます。"

Q: DASTはどのように機能するのか？

DAST スキャナは、実行中のアプリケーションの脆弱性を検索し、 SQL インジェクション 、クロスサイトスクリプティング（XSS）などの攻撃を可能にする欠陥が見つかった場合、自動アラートを送信します。DASTツールは動的環境で機能するように設計されているため、SASTツールでは特定できない実行時の欠陥を検出することができます。ビルの例で言えば、DASTスキャナは警備員のようなものです。しかし、この警備員はドアや窓の施錠を確認するだけでなく、さらに一歩踏み込んで、建物に物理的に侵入しようとします。警備員はドアの鍵を開けようとするかもしれないし、窓を壊そうとするかもしれません。この検査が終わると、警備員はビル管理者に報告し、どのように侵入できたかを説明することができます。DASTスキャナもこれと同じように考えることができます。DASTスキャナは、実行中の環境の脆弱性を積極的に見つけようとするため、DevOpsチームはどこでどのように修正すべきかを知ることができます。

Q: 開発者に適したDASTツールとは？

OpenText™ Fortify™ DAST は、自動化された動的アプリケーションセキュリティテストを提供するため、悪用可能な Web アプリケーションの脆弱性をスキャンして修正することができます。通常、DAST は実行中のアプリケーションに対する攻撃をエミュレートしているため、本番環境の後に行われます。しかし、"DAST left" （DAST を開発プロセスの早い段階で移行する）という決断をすることで、脆弱性をより早く検出することができ、時間とコストを節約することができます。Fortify DAST には、あらかじめ構築されたスキャンポリシーが含まれており、スピードの必要性と組織の要件のバランスをとることができます。また、Fortify DASTにはインクリメンタルスキャン機能があり、アプリケーションの変更された部分のみの脆弱性を迅速に評価することができます。Fortify DAST を使用すると、次のことが可能になります：自動化された DAST で DevOps をセキュアに AppSec のリスクを大規模に管理 主要なデータセキュリティ規制へのコンプライアンスを達成 DAST を左遷 最新のフレームワークと API をクロール 強化された AppSec プログラムを構築

Q: SASTとDASTの違いは何ですか？

" DAST は、悪意のあるユーザが行うようにアプリケーションを攻撃することで、"の外側からアプリケーションを攻撃します。DAST スキャナはこれらの攻撃を実行した後、期待された結果セットに含まれない結果を探し、セキュリティの脆弱性を特定します。一方、SASTは静的環境、つまりアプリケーションのソースコードを分析します。"内側から外側からアプリケーションを調べ、" コード内の脆弱性を探します。セキュリティ体制を最大限に強化するには、SASTとDASTの両方を使用するのがベストプラクティスです。このような統一された分類法を持つことで、テスト手法を横断して脆弱性を完全に把握することができます。

DASTの説明

動的アプリケーション・セキュリティ・テスト（DAST）は、フロントエンドを通じてウェブアプリケーションを分析し、模擬攻撃を通じて脆弱性を発見するプロセスです。この種のアプローチは、悪意のあるユーザが行うようにアプリケーションを攻撃することで、"外側から "アプリケーションを評価します。DASTスキャナーは、これらの攻撃を実行した後、期待された結果セットに含まれない結果を探し、セキュリティの脆弱性を特定する。

動的アプリケーション・セキュリティ・テスト（DAST）

DASTの長所

アプリケーションに依存しない
悪用される可能性のある脆弱性を即座に見つける
ソースコードにアクセスする必要がない

DASTの短所

コード内の脆弱性の正確な位置を見つけることはできない。
レポートの解釈にはセキュリティの知識が必要
テストには時間がかかる

ITセキュリティの専門家によると、アプリケーションの開発とテストは、組織にとって最も困難なセキュリティ・プロセスであり続けている。開発者は安全なコードを作成するためのソリューションを必要としており、アプリケーション・セキュリティ（AppSec）ツールが活躍する場はそこにある。

AppSec は、アプリケーションのライフサイクル全体を通じて、アプリケーションを脅威から保護することを目的としたプロセス、ツール、および実践の分野である。

アプリケーションのセキュリティをテストする方法はたくさんある：

静的アプリケーション・セキュリティ・テスト（SAST）
動的アプリケーション・セキュリティ・テスト（DAST）
モバイル・アプリケーション・セキュリティ・テスト（MAST）
インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）

なぜDASTが重要なのか？

DASTが重要なのは、開発者がアプリケーションを構築する際に自分の知識だけに頼る必要がないからだ。SDLC の間に DAST を実施することで、公開前にアプリケーションの脆弱性を発見することができます。このような脆弱性を放置したままアプリをデプロイすると、データ漏洩につながり、大きな金銭的損失やブランドの評判を落とすことになりかねません。ヒューマンエラーは、ソフトウェア開発ライフサイクル（SDLC）のどこかの時点で、必然的にその一端を担うことになり、脆弱性がSDLCの間に早く発見されればされるほど、修正にかかる費用は安くなります。

DASTが継続的インテグレーション/継続的開発（CI/CD）パイプラインの一部として含まれる場合、これは「セキュアDevOps」または「DevSecOps」と呼ばれる。

DASTはどのように機能するのか？

DASTスキャナは、実行中のアプリケーションの脆弱性を検索し、SQLインジェクション、クロスサイトスクリプティング（XSS）などの攻撃を可能にする欠陥が見つかった場合、自動アラートを送信します。DASTツールは動的環境で機能するように設計されているため、SASTツールでは特定できない実行時の欠陥を検出することができる。

ビルの例で言えば、DASTスキャナーは警備員のようなものだ。しかし、この警備員はドアや窓の施錠を確認するだけでなく、さらに一歩踏み込んで、建物に物理的に侵入しようとする。警備員はドアの鍵を開けようとするかもしれないし、窓を壊そうとするかもしれない。この検査が終わると、警備員はビル管理者に報告し、どのようにして侵入できたかを説明することができる。DASTスキャナもこれと同じように考えることができる。DASTスキャナは、実行中の環境の脆弱性を積極的に見つけようとするので、DevOpsチームはどこでどのように修正すべきかを知ることができる。

開発者に適したDASTツールとは？

OpenText™ Fortify™ DASTは、自動化された動的アプリケーションセキュリティテストを提供するため、悪用可能な Web アプリケーションの脆弱性をスキャンして修正することができます。

通常、DASTは実行中のアプリケーションに対する攻撃をエミュレートするため、本番環境の後に行われます。しかし、「DASTを左にシフトする」（DASTを開発プロセスの早い段階に移す）という決断をすることで、脆弱性をより早く検出できるようになり、時間とコストの節約につながります。Fortify DAST には、あらかじめ構築されたスキャンポリシーが含まれており、スピードの必要性と組織の要件のバランスをとることができます。

また、Fortify DASTにはインクリメンタルスキャン機能があり、アプリケーションの変更された部分のみの脆弱性を迅速に評価することができます。

Fortify DASTでは、以下のことが可能です：

自動化されたDASTによる安全なDevOps
規模に応じたAppSecリスクの管理
主要なデータセキュリティ規制への準拠
DASTを左にシフト
最新のフレームワークとAPIをクロールする
より強力なAppSecプログラムの構築

SASTとDASTの違いは何ですか？

DASTは、悪意のあるユーザーと同じようにアプリケーションを攻撃することで、アプリケーションを「外側から」攻撃します。DASTスキャナーは、これらの攻撃を実行した後、期待された結果セットに含まれない結果を探し、セキュリティの脆弱性を特定する。

一方、SASTは静的環境、つまりアプリケーションのソースコードを分析する。アプリケーションを "内部から "見て、コードの脆弱性を探すのだ。

セキュリティ体制を最大限に強化するには、SASTとDASTの両方を使用するのがベストプラクティスです。このように、テスト手法全体にわたって統一された分類法を持つことで、脆弱性を完全に把握することができる。

オープンテキストのフォーティファイ...

ダイナミック・アプリケーション・セキュリティ・テスト（DAST）でSDLCを改善します。Fortify DAST は、アプリケーションのセキュリティ保護と分析に必要な技術とレポートを提供します。By design, this and other OpenText tools bridge the gap between existing and emerging technologies – which means you can innovate and deliver apps faster, with less risk, in the race to digital transformation.

オープンテキストは、最も包括的な静的および動的アプリケーション・セキュリティ・テスト技術と、業界をリードするセキュリティ研究に裏打ちされたランタイム・アプリケーション・モニタリングおよび保護を提供します。