好色先生TV

O teste din?mico de seguran?a de aplicativos (DAST) é o processo de análise de um aplicativo da Web por meio do front-end para encontrar vulnerabilidades por meio de ataques simulados. Esse tipo de abordagem avalia o aplicativo de "fora para dentro", atacando um aplicativo como um usuário mal-intencionado faria. Depois que um scanner DAST realiza esses ataques, ele procura resultados que n?o fazem parte do conjunto de resultados esperados e identifica vulnerabilidades de seguran?a.

Prós de DAST

• Independente do aplicativo
• Localiza imediatamente as vulnerabilidades que podem ser exploradas
• N?o requer acesso ao código-fonte

---

Contras de DAST

• N?o encontra o local exato de uma vulnerabilidade no código
• ? necessário conhecimento de seguran?a para interpretar os relatórios
• O teste pode ser demorado

O desenvolvimento e o teste de aplicativos continuam sendo o processo de seguran?a mais desafiador para as organiza??es, de acordo com os profissionais de seguran?a de TI. Os desenvolvedores precisam de solu??es para ajudá-los a criar códigos seguros, e é aí que as ferramentas de seguran?a de aplicativos (AppSec) entram em a??o.

AppSec é a disciplina de processos, ferramentas e práticas que visa a proteger os aplicativos contra amea?as durante todo o ciclo de vida do aplicativo.

Há muitas maneiras de testar a seguran?a do aplicativo, incluindo:

• Teste estático de seguran?a de aplicativos (SAST)
• Teste de seguran?a de aplicativos din?micos (DAST)
• Teste de seguran?a de aplicativos móveis (MAST)
• Teste interativo de seguran?a de aplicativos (IAST)

---

Por que o site DAST é importante?

DAST é importante porque os desenvolvedores n?o precisam confiar apenas em seu próprio conhecimento ao criar aplicativos. Ao conduzir o DAST durante o SDLC, você pode detectar vulnerabilidades em um aplicativo antes que ele seja implantado para o público. Se essas vulnerabilidades n?o forem verificadas e o aplicativo for implementado como tal, isso poderá levar a uma viola??o de dados, resultando em grandes perdas financeiras e danos à reputa??o da sua marca. O erro humano inevitavelmente desempenhará um papel em algum momento do ciclo de vida de desenvolvimento de software (SDLC) e, quanto mais cedo uma vulnerabilidade for detectada durante o SDLC, mais barata será a corre??o.

Quando o DAST é incluído como parte do pipeline de integra??o contínua/desenvolvimento contínuo (CI/CD), isso é chamado de "DevOps seguro" ou "DevSecOps".

---

Como funciona o site DAST ?

Um scanner DAST procura vulnerabilidades em um aplicativo em execu??o e envia alertas automatizados se encontrar falhas que permitam ataques como , XSS (Cross-Site Scripting) e outros. Como as ferramentas DAST s?o equipadas para funcionar em um ambiente din?mico, elas podem detectar falhas de tempo de execu??o que as ferramentas SAST n?o conseguem identificar.

Usando o exemplo de um prédio, um scanner DAST pode ser considerado como um guarda de seguran?a. Entretanto, em vez de apenas garantir que as portas e janelas estejam trancadas, esse guarda vai além e tenta invadir fisicamente o prédio. O guarda pode tentar arrombar as fechaduras das portas ou quebrar as janelas. Após concluir esse exame, o vigilante pode se reportar ao gerente do edifício e fornecer uma explica??o de como conseguiu invadir o edifício. Um scanner DAST pode ser pensado da mesma forma: ele tenta ativamente encontrar vulnerabilidades em um ambiente em execu??o para que a equipe de DevOps saiba onde e como corrigi-las.

---

O que é uma ferramenta do site DAST que é adequada para desenvolvedores?

好色先生TV? Fortify? O WebInspect fornece testes automatizados de seguran?a de aplicativos din?micos para que você possa verificar e corrigir vulnerabilidades exploráveis de aplicativos da Web.

Normalmente, o DAST é feito após a produ??o, pois está emulando ataques em um aplicativo em execu??o; mas, ao tomar a decis?o de "Shift DAST left" (mover o DAST mais cedo no processo de desenvolvimento), você poderá detectar vulnerabilidades mais cedo, o que economiza tempo e dinheiro. Fortify O WebInspect inclui políticas de varredura predefinidas, equilibrando a necessidade de velocidade com seus requisitos organizacionais.

Fortify O WebInspect também inclui um recurso de varredura incremental, que permite avaliar rapidamente as vulnerabilidades apenas nas áreas do aplicativo que foram alteradas.

Fortify O WebInspect permite que você:

• Proteja o DevOps com automatiza??o DAST
• Gerencie o risco de AppSec em escala
• Obter conformidade com as principais normas de seguran?a de dados
• Mudar DAST para a esquerda
• Rastrear estruturas e APIs modernas
• Criar um programa AppSec mais forte

---

Qual é a diferen?a entre SAST e DAST?

DAST ataca o aplicativo de "fora para dentro", atacando um aplicativo como um usuário mal-intencionado faria. Depois que um scanner DAST realiza esses ataques, ele procura resultados que n?o fazem parte do conjunto de resultados esperado e identifica vulnerabilidades de seguran?a.

SASTPor outro lado, analisa ambientes estáticos, ou seja, o código-fonte de um aplicativo. Ele examina o aplicativo de "dentro para fora", procurando vulnerabilidades no código.

Para maximizar a for?a de sua postura de seguran?a, é uma prática recomendada usar os sites SAST e DAST. Ter essa taxonomia unificada entre os métodos de teste permite que você tenha uma vis?o completa das vulnerabilidades.

---

Em 好色先生TV Fortify ...

Aprimoramos seu SDLC com o Teste Din?mico de Seguran?a de Aplicativos (DAST). Fortify O WebInspect fornece a tecnologia e os relatórios de que você precisa para proteger e analisar seus aplicativos. Por design, essa e outras ferramentas do 好色先生TV preenchem a lacuna entre as tecnologias existentes e as emergentes, o que significa que você pode inovar e fornecer aplicativos mais rapidamente, com menos riscos, na corrida para a transforma??o digital.

Fortify oferece as mais abrangentes tecnologias de teste de seguran?a de aplicativos estáticos e din?micos, além de monitoramento e prote??o de aplicativos em tempo de execu??o, com o respaldo de pesquisas de seguran?a líderes do setor.