专注于IAST内容收录和传播。

IAST百科全书 第1期:什么是IAST?

IAST全称Interactive Application Security Testing 交互式应用程序安全测试,一般也叫灰盒,是一种在应用和API中自动化识别和诊断软件漏洞的应用程序安全测试技术。通过插桩技术(Instrumented)收集、监控 Web 应用程序运行时的函数执行、数据传输,并与服务端(server)进行实时交互,高效、准确地识别安全缺陷及漏洞,可准确确定漏洞所在的代码文件、行数、函数及参数。

在整个软件开发生命周期中,可以在开发与测试阶段中使用IAST工具。IAST良好的适用于敏捷开发和 DevSecOps ,在软件开发和测试阶段无缝集成现有开发流程,让开发人员和测试人员在执行功能测试时,实时、动态、同步进行漏洞检测, 可精确确定漏洞所在代码行,在无感知的情况下完成安全测试。

与IAST相似的产品主要有SAST白盒、DAST黑盒。IAST能够在应用实际运行的过程中检测到漏洞,具备了黑盒中检测结果准确的特征;同时,IAST通过污点跟踪算法来进行漏洞检测,所以检测结果也具备了白盒的全面性特点。

视频链接:IAST百科全书第1期:什么是IAST?_哔哩哔哩_bilibili