На практика рискът за сигурността не спира до кода. Макар че това може да е вярно, статичният анализ открива проблеми рано, той не може да потвърди кои уязвимости остават експлоатируеми, след като приложението е активно. тази причина, ДАСТ и ASPM трябва да работят заедно да се свърже поведението по време на изпълнение с резултатите на ниво код и да се определи реалното излагане в продуктите
С други думи, без контекст по време на изпълнение, екипите на AppSec приоритизират уязвимостите въз основа на предположения, а не на доказателства. В резултат на това нарастват натрупванията на неизпълнени задачи, натрупват се фалшиви положителни резултати и критични проблеми се смесват с констатации с ниско въздействие. Тук е мястото, където комбинирането на DAST с ASPM променя уравнението, защото сигналите по време на изпълнение валидират достъпността, експозицията и експлоатационността в реални условия.
Защо само DAST не е достатъчен
DAST симулира реални атаки срещу активни приложения. В резултат на това открива проблеми, които статичните инструменти не могат да видят преди внедряването им.
DAST инструментите обаче обикновено генерират големи обеми предупреждения без достатъчен контекст.
Следователно, екипите са изправени пред:
- Плоски списъци с уязвимости
- Ограничено приоритизиране
- Липсва корелация с кода и зависимостите
За разлика, ASPM предоставя структурата, необходима за интерпретиране на тези открития.
DAST разкрива уязвимости по време на изпълнение, но без корелация и приоритизиране, откритията му все още създават шум и бавно отстраняване.
DAST поглъщане в ASPMОт сигнали по време на изпълнение до предприемчив риск
За да затвори тази празнина, Xygeni приема DAST изходи директно в своята ASPM двигател.
Това включва резултати от инструменти като OWASP ZAP, Акунетикс 360и други XML-базирани скенери.
След това Xygeni съпоставя резултатите от изпълнението със статични сигнали и контекста на активите.
Какво прави Xygeni
- Вгражда DAST резултатите в ASPM
- Съпоставя данните по време на изпълнение с SAST, SCAи контекст на конфигурацията
- Обогатява проблемите с метаданни за експозиция и активи
- Прекарва всички открития през многоетапна фуния за приоритизиране
Както може да се види, DAST се превръща в един сигнал сред много, а не в изолиран изход.
Фунията за приоритизиране на DAST: Филтриране, съобразено с времето на изпълнение
Вместо да третира всички открития еднакво, Xygeni прилага прогресивна фуния:
Всички проблеми → Разкрити в интернет → Неудостоверени → Бизнес стойност
На всеки етап резултатите се филтрират въз основа на:
- Външно излагане
- Изисквания за удостоверяване
- Достижимост по време на изпълнение
- Релевантност за бизнеса
В резултат на това, проблемите с ниско въздействие или недостижимите проблеми се отстраняват рано.
Защо това е важно за екипите на DevSecOps
Валидиране на експозицията в реални условия
DAST потвърждава експлоатационността на работещи системи. Следователно екипите спират да поправят уязвимости, които никога не се материализират в производствения процес.
Сигнал над шума
Само вътрешните крайни точки и удостоверените пътища отпадат преждевременно. Следователно, натрупаните задачи остават приложими, вместо да бъдат огромни.
По-бързо и по-интелигентно отстраняване на проблеми
Инженерите извършват сортиране въз основа на експозицията и въздействието по време на изпълнение. По този начин циклите на поправка се скъсяват и точността на отстраняването се подобрява.
Унифициран изглед: код → изпълнение → риск
Чрез корелиране на статични и динамични сигнали, ASPM премахва слепите зони. В крайна сметка, сигурносттаcisйоните стават базирани на данни и защитими.
ДАСТ + ASPM в среди за непрекъсната доставка
Съвременните приложения се променят непрекъснато. Предвид това, сигурността...cisйоните трябва да отразяват текущото поведение по време на изпълнение, а не предположения, направени по-рано в SDLC.
Чрез вграждане на DAST вътре ASPM:
- Сигурността е съобразена с реалното поведение на приложението
- DevOps поддържа скоростта на пускане на пазара
- Дългът по обезпечения намалява с времето
Накратко, приоритизирането, съобразено с времето на изпълнение, поддържа сигурността актуална с развитието на системите.
За да завърши
DAST предавания какво може да бъде атакувано.
ASPM обяснява това, което наистина има значение.
Взети заедно, DAST и ASPM да се премахне разликата между кода и експозицията по време на изпълнение, осигурявайки точно приоритизиране, намален шум и уверено отстраняване на проблеми за съвременните DevSecOps екипи.
