Micro Focus

O que é Dynamic Application Security Testing (DAST)?

Dynamic Application Security Testing (DAST) é o processo de análise de um aplicativo da web que usa o front end para encontrar vulnerabilidades por meio de ataques simulados. Esse tipo de abordagem avalia o aplicativo “de fora para dentro”, atacando-o como um usuário mal-intencionado faria. Depois que um scanner DAST realiza esses ataques, ele procura resultados que não fazem parte do conjunto esperado e identifica as vulnerabilidades de segurança.

Prós do DAST

  • Independente de aplicativo
  • Encontra, de imediato, as vulnerabilidades que podem ser exploradas
  • Não requer acesso ao código-fonte

Contras do DAST

  • Não encontra a localização exata de uma vulnerabilidade no código
  • Exige conhecimento de segurança para interpretar os relatórios
  • O teste pode ser um processo moroso

O desenvolvimento e o teste de aplicativos ainda são o processo de segurança mais desafiador para as organizações, de acordo com os profissionais de segurança de TI. Os desenvolvedores precisam de soluções que os ajudem a criar códigos seguros e é aqui que as ferramentas de Segurança de Aplicativos (AppSec) entram em cena.

AppSec é a disciplina relacionada aos processos, ferramentas e práticas, cujo objetivo é proteger aplicativos contra ameaças durante todo o ciclo de vida dos aplicativos.

Há muitas maneiras de testar a segurança de um aplicativo, incluindo:

O que é Application Security Testing dinâmico

Por que o DAST é importante?

O DAST é importante porque os desenvolvedores não precisam depender apenas dos próprios conhecimentos ao criar aplicativos. Ao conduzir o DAST durante o SDLC, você pode detectar vulnerabilidades em um aplicativo antes que ele seja implantado para o público. Se essas vulnerabilidades não forem verificadas e o aplicativo for implantado tal como está, isso pode causar uma violação de dados, resultando em grandes perdas financeiras e danos à reputação da marca. O erro humano, com certeza está presente em algum ponto do Ciclo de Vida de Desenvolvimento de Software (SDLC) e, quanto mais cedo uma vulnerabilidade for detectada durante o SDLC, mais barato será corrigi-la.

Quando o DAST é incluído como parte do pipeline de Integração/Desenvolvimento Contínuo (CI/CD), isso é conhecido como "DevOps seguro" ou "DevSecOps."

A análise dos dados de vulnerabilidade do Fortify on Demand (FoD) mostrou que 94% dos mais de 11.000 aplicativos da web continham bugs nos recursos de segurança, e que as questões de qualidade do código e de abuso de APIs praticamente dobraram nos últimos 4 anos (Relatório de Risco de Segurança de Aplicativos da Micro Focus 2019).

por que o dast é importante

Como o DAST funciona?

Um scanner DAST procura vulnerabilidades em um aplicativo em execução e envia alertas automatizados sempre que encontrar falhas que permitem ataques como injeções de SQL, Cross-Site Scripting (XSS) e muito mais. Como as ferramentas DAST são equipadas para funcionar em um ambiente dinâmico, elas podem detectar as falhas em tempo de execução que as ferramentas SAST não conseguem identificar.

Para usar o exemplo de um edifício, um scanner DAST pode ser considerado como um guarda. No entanto, em vez de apenas se certificar de que as portas e janelas estejam trancadas, esse guarda vai um passo além e tenta arrombar o edifício. Ele pode tentar arrombar as fechaduras das portas ou quebrar as janelas. Quando ele termina as tentativas de arrombamento, o guarda pode procurar o gerente do prédio e explicar como conseguiu invadir o prédio. Um scanner DAST pode ser visto da mesma maneira – ele tenta, de maneira ativa, encontrar vulnerabilidades em um ambiente em execução para que a equipe de DevOps saiba onde e como corrigi-las.

O que é uma ferramenta DAST adequada para desenvolvedores?

O Micro Focus Fortify WebInspect fornece testes de segurança de aplicativos dinâmicos automatizados para que você consiga verificar e corrigir vulnerabilidades de aplicativos da web que possam ser exploradas.

Normalmente, o DAST é feito após a entrada em produção, pois ele emula ataques em um aplicativo em execução; mas ao tomar a decisão de “Fazer um shift left no DAST” (mover o DAST para o início do processo de desenvolvimento), você pode detectar vulnerabilidades mais cedo, o que economiza tempo e dinheiro. O Fortify WebInspect contém políticas de verificação pré-construídas, que equilibram a necessidade de velocidade com seus requisitos organizacionais.

O Fortify WebInspect também conta com um recurso de verificação incremental, que permite avaliar rapidamente as vulnerabilidades apenas nas áreas do aplicativo que foram alteradas.

Fortify WebInspect permite que você:

  • Proteja o DevOps com DAST automatizado
  • Gerencie os riscos de segurança de aplicativos em grande escala
  • Obtenha conformidade com as principais normas de segurança de dados
  • Faça um shift left no DAST
  • Rastreie estruturas e APIs modernas
  • Crie um programa AppSec mais robusto

Qual a diferença entre SAST e DAST?

O DAST aborda o aplicativo “de fora para dentro”, atacando-o como um usuário mal-intencionado faria. Depois que um scanner DAST realiza esses ataques, ele procura resultados que não fazem parte do conjunto esperado e identifica as vulnerabilidades de segurança.

O SAST, por sua vez, analisa ambientes estáticos, ou seja, o código-fonte de um aplicativo. Ele examina o aplicativo de “dentro para fora”, procurando vulnerabilidades no código.

Para maximizar a força de sua postura de segurança, a prática recomendada é usar o SAST e o DAST. A taxonomia unificada entre os métodos de teste permite ter uma visão completa das vulnerabilidades.

Com o Micro Focus Fortify…

Melhoramos seu SDLC com o Dynamic Application Security Testing (DAST). O Fortify WebInspect fornece a tecnologia e os relatórios de que você precisa para proteger e analisar seus aplicativos. Projetado para isso mesmo, esta e outras ferramentas da Micro Focus preenchem a lacuna entre as tecnologias existentes e as emergentes – o que significa que você pode inovar mais rapidamente e com menos risco na corrida para a transformação digital.

O Fortify oferece as tecnologias de teste de segurança de aplicativos estáticos e dinâmicos mais abrangentes, juntamente com monitoramento e proteção de aplicativos em tempo de execução, apoiados por pesquisas de segurança líderes da indústria.

Produtos relacionados

Segurança de aplicativo Fortify

O Fortify protege os aplicativos com resultados que viabilizam a ação e se integra perfeitamente às suas ferramentas de desenvolvimento, teste e criação.

Saiba mais
Fortify WebInspect

Encontre e corrija vulnerabilidades de aplicativos da web exploráveis com testes de segurança de aplicativos dinâmicos automatizados.

Saiba mais
Fortify on Demand (FoD)

Segurança de aplicativos como serviço, com testes de segurança, gerenciamento de vulnerabilidades, conhecimento especializado e suporte.

Saiba mais

Fale conosco

Fale conosco para mais informações sobre o Fortify WebInspect

Fale conosco

Recursos adicionais

O que é segurança de aplicativos?
O que é segurança de código aberto?
Canal do YouTube do Fortify Unplugged
Comunidade do Fortify
Blog sobre segurança de aplicativos
Fortify nomeado líder no Magic Quadrant do Gartner
O que é DevSecOps?
Recursos críticos do Gartner – Fortify recebe classificação máxima para empresas
O que é Segurança de API?
Ecossistema de integração do Fortify
release-rel-2020-10-1-5313 | Wed Oct 14 18:06:08 PDT 2020
5313
release/rel-2020-10-1-5313
Wed Oct 14 18:06:08 PDT 2020