DAST

DAST (ראשי תיבות של: Dynamic Application Security Testing) הוא כלי לבדיקה דינמית של אבטחת יישומים. DAST הוא תוכנית המתקשרת עם אפליקציית רשת דרך ממשק האינטרנט (או רשת אחרת) במטרה לזהות פגיעויות אבטחה אפשריות ביישום הרשת וחולשות בארכיטקטורה. הוא מבצע בדיקות קופסה שחורה. בניגוד לכלי SAST, לכלי DAST אין גישה לקוד המקור ולכן הם מזהים נקודות תורפה על ידי ביצוע התקפות בפועל.

כלי DAST מאפשרים סריקות מתוחכמות, המאתרים נקודות תורפה עם אינטראקציות מינימליות של משתמשים לאחר שהוגדרו עם שם המארח, פרמטרים לסריקה ואישורי אימות. כלים אלה ינסו לאתר נקודות תורפה במחרוזות שאילתה, כותרים (Headers), פעלים (GET / POST / PUT) והזרקת DOM.

לקוחות נהנים מהנוחות של יישומים אלה, תוך שהם לוקחים סיכון שבשתיקה כי מידע פרטי המאוחסן ביישומי רשת ייפגע באמצעות התקפות האקרים ודליפות פנים. על פי Privacy Rights Clearinghouse, יותר מ-18 מיליון רשומות לקוחות נפגעו בשנת 2012 עקב בקרת אבטחה לא מספקת בנתונים ארגוניים וביישומי אינטרנט.

 סקירה כללית 
כלי DAST מקלים על הבדיקה האוטומטית של אפליקציית רשת במטרה המוצהרת לגלות פגיעויות אבטחה ונדרשים לעמוד בדרישות הרגולציה השונות. סורקי יישומים יכולים לחפש מגוון רחב של נקודות תורפה, כגון אימות קלט / פלט: (למשל סקריפטים בין-אתריים והזרקת SQL), בעיות יישומים ספציפיות ושגיאות בתצורת שרת.

בדו"ח המוגן בזכויות יוצרים שפורסם במרץ 2012 על ידי ספק האבטחה Cenzic, נקודות התורפה הנפוצות ביותר ביישומים ביישומים שנבדקו לאחרונה כוללים:
37%Cross-site scripting16%SQL injection5%Path disclosure5%Denial-of-service4%Code execution4%Memory corruption4%Cross-site request forgery3%Information disclosure3%Arbitrary file2%Local file inclusion1%Remote file inclusion1%Buffer overflow15%אחר (PHP injection, JavaScript injection, וכיוב)

 הערות שוליים 

קטגוריה:תוכנות אבטחת מחשבים