Praktikas ei piirdu turvarisk koodiga. Kuigi see võib tõsi olla, leiab staatiline analüüs probleeme varakult, kuid see ei suuda kinnitada, millised haavatavused jäävad pärast rakenduse käivitamist ärakasutatavaks. sel põhjusel, DAST ja ASPM peab koostööd tegema et siduda käitusaegne käitumine kooditaseme leidudega ja määrata tegelik kokkupuude tootmises
Teisisõnu, ilma käitusaja kontekstita seavad rakenduste turvalisuse meeskonnad haavatavusi tähtsuse järjekorda pigem eelduste kui tõendite põhjal. Selle tulemusel kasvavad mahajäämused, kuhjuvad valepositiivsed tulemused ja kriitilised probleemid segunevad väikese mõjuga leidudega. Siin tuleb DAST-i kombineerida ASPM muudab võrrandit, sest käitusaja signaalid valideerivad kättesaadavust, nähtavust ja ärakasutatavust reaalsetes tingimustes.
Miks ainult DAST-ist ei piisa
DAST simuleerib reaalseid rünnakuid töötavate rakenduste vastu. Selle tulemusena tuvastab see probleeme, mida staatilised tööriistad enne juurutamist ei näe.
DAST-tööriistad genereerivad aga tavaliselt suuri häiretemahtusid ilma piisava kontekstita.
Seetõttu seisavad meeskonnad silmitsi:
- Tasapinnalised haavatavuste loendid
- Piiratud prioriseerimine
- Puudub korrelatsioon koodi ja sõltuvustega
Seevastu ASPM annab nende leidude tõlgendamiseks vajaliku struktuuri.
DAST paljastab küll käitusaja haavatavusi, kuid ilma korrelatsiooni ja prioriseerimiseta tekitavad selle leiud ikkagi müra ja aeglustavad parandamist.
DAST-i allaneelamine ASPMKäitusaja signaalidest tegutsemist võimaldava riskini
Selle lünga täitmiseks sisestab Xygeni DAST-i väljundid otse oma ASPM mootor.
See hõlmab selliste tööriistade tulemusi nagu OWASP ZAP, Acunetix 360ja muud XML-põhised skannerid.
Pärast seda seostab Xygeni käitusaja tulemusi staatiliste signaalide ja varade kontekstiga.
Mida Xygeni teeb
- Sisestab DAST-i leiud ASPM
- Seob käitusaja andmeid SAST, SCAja konfiguratsiooni kontekst
- Rikastab probleeme nähtavuse ja varade metaandmetega
- Läbib kõik leiud mitmeastmelise prioriseerimislehtri kaudu
Nagu näha, saab DAST-ist üks signaal paljude seas, mitte isoleeritud väljund.
DAST-i prioriseerimislehter: käitusajapõhine filtreerimine
Kõikide leidude võrdse käsitlemise asemel rakendab Xygeni progresseeruvat müügilehtrit:
Kõik probleemid → Internetis paljastatud → Autentimata → Äriväärtus
Igas etapis filtreeritakse tulemused järgmiste aluste alusel:
- Väline kokkupuude
- Autentimisnõuded
- Käitusaja kättesaadavus
- Äriline olulisus
Selle tulemusel kõrvaldatakse väikese mõjuga või kättesaamatud probleemid varakult.
Miks see on DevSecOpsi meeskondade jaoks oluline?
Reaalse kokkupuute valideerimine
DAST kinnitab ärakasutatavust reaalajas süsteemides. Seetõttu lõpetavad meeskonnad haavatavuste parandamise, mis tootmises kunagi ei realiseeru.
Signaal müra kohal
Ainult sisemised lõpp-punktid ja autentitud teed kaovad varakult. Seetõttu jäävad ootel olevad probleemid lahendamist vajavaks, mitte ei tekita ülekoormavaid probleeme.
Kiirem ja nutikam parandus
Insenerid teevad triaaži käitusaja kokkupuute ja mõju põhjal. Sel viisil lühenevad parandustsüklid ja paraneb parandusmeetmete täpsus.
Ühendatud vaade: kood → käivitamine → risk
Staatiliste ja dünaamiliste signaalide korreleerimise teel ASPM eemaldab pimedad kohad. Lõppkokkuvõttes on turvalisuse decisioonid muutuvad andmepõhiseks ja kaitstavaks.
DAST + ASPM pideva tarne keskkondades
Kaasaegsed rakendused muutuvad pidevalt. Arvestades seda, et turvalisuse aspektidcisioonid peavad kajastama praegust käitusaegset käitumist, mitte varem tehtud eeldusi SDLC.
DAST-i sisse manustamisega ASPM:
- Turvalisus on kooskõlas tegeliku rakenduse käitumisega
- DevOps säilitab avaldamiskiiruse
- Väärtpaberivõlg väheneb aja jooksul
Lühidalt, käitusaja teadlik prioriseerimine hoiab turvalisuse süsteemide arenedes asjakohasena.
Kokkuvõtteks
DAST näitab mida saab rünnata.
ASPM selgitab mis on tõeliselt oluline.
Kokkuvõttes, DAST ja ASPM vähendada koodi ja käitusaja kokkupuute vahelist lõhet, pakkudes täpset prioriseerimist, vähendatud müra ja enesekindlat parandusmeetmete rakendamist tänapäevastele DevSecOps meeskondadele.
