പ്രായോഗികമായി, സുരക്ഷാ അപകടസാധ്യത കോഡിൽ മാത്രം ഒതുങ്ങുന്നില്ല. ഇത് ശരിയാണെങ്കിലും, സ്റ്റാറ്റിക് വിശകലനം പ്രശ്നങ്ങൾ നേരത്തെ കണ്ടെത്തുന്നു, പക്ഷേ ഒരു ആപ്ലിക്കേഷൻ സജീവമായിക്കഴിഞ്ഞാൽ ഏതൊക്കെ ദുർബലതകളാണ് ചൂഷണത്തിന് വിധേയമാകുന്നതെന്ന് ഇതിന് സ്ഥിരീകരിക്കാൻ കഴിയില്ല. ആ കാരണം, DAST ഉം ASPM ഒരുമിച്ച് പ്രവർത്തിക്കണം റൺടൈം പെരുമാറ്റത്തെ കോഡ്-ലെവൽ കണ്ടെത്തലുകളുമായി ബന്ധിപ്പിക്കുന്നതിനും ഉൽപാദനത്തിലെ യഥാർത്ഥ എക്സ്പോഷർ നിർണ്ണയിക്കുന്നതിനും
മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, റൺടൈം സന്ദർഭമില്ലാതെ, AppSec ടീമുകൾ തെളിവുകളേക്കാൾ അനുമാനങ്ങളെ അടിസ്ഥാനമാക്കി ദുർബലതകൾക്ക് മുൻഗണന നൽകുന്നു. തൽഫലമായി, ബാക്ക്ലോഗുകൾ വളരുന്നു, തെറ്റായ പോസിറ്റീവുകൾ അടിഞ്ഞുകൂടുന്നു, നിർണായക പ്രശ്നങ്ങൾ കുറഞ്ഞ സ്വാധീനമുള്ള കണ്ടെത്തലുകളുമായി കൂടിച്ചേരുന്നു. ഇവിടെയാണ് DAST-നെ സംയോജിപ്പിക്കുന്നത് ASPM റൺടൈം സിഗ്നലുകൾ യഥാർത്ഥ ലോക സാഹചര്യങ്ങളിൽ എത്തിച്ചേരൽ, എക്സ്പോഷർ, ചൂഷണം എന്നിവയെ സാധൂകരിക്കുന്നതിനാൽ സമവാക്യം മാറ്റുന്നു.
എന്തുകൊണ്ട് DAST മാത്രം പോരാ?
തത്സമയ ആപ്ലിക്കേഷനുകൾക്കെതിരായ യഥാർത്ഥ ലോക ആക്രമണങ്ങളെ DAST അനുകരിക്കുന്നു. തൽഫലമായി, വിന്യാസത്തിന് മുമ്പ് സ്റ്റാറ്റിക് ഉപകരണങ്ങൾക്ക് കാണാൻ കഴിയാത്ത പ്രശ്നങ്ങൾ ഇത് കണ്ടെത്തുന്നു.
എന്നിരുന്നാലും, DAST ഉപകരണങ്ങൾ സാധാരണയായി മതിയായ സന്ദർഭമില്ലാതെ വലിയ അലേർട്ട് വോള്യങ്ങൾ സൃഷ്ടിക്കുന്നു.
തൽഫലമായി, ടീമുകൾ നേരിടുന്നത്:
- ഫ്ലാറ്റ് ദുർബലതാ പട്ടികകൾ
- പരിമിതമായ മുൻഗണന
- കോഡുമായും ആശ്രിതത്വങ്ങളുമായും പരസ്പരബന്ധം നഷ്ടപ്പെട്ടു.
താരതമ്യേന, ASPM ഈ കണ്ടെത്തലുകൾ വ്യാഖ്യാനിക്കുന്നതിന് ആവശ്യമായ ഘടന നൽകുന്നു.
DAST റൺടൈം ദുർബലതകൾ വെളിപ്പെടുത്തുന്നു, എന്നാൽ പരസ്പര ബന്ധമോ മുൻഗണനയോ ഇല്ലാതെ, അതിന്റെ കണ്ടെത്തലുകൾ ഇപ്പോഴും ശബ്ദവും മന്ദഗതിയിലുള്ള പരിഹാരവും സൃഷ്ടിക്കുന്നു.
DAST ഇൻജക്ഷൻ ഇൻ ASPM: റൺടൈം സിഗ്നലുകളിൽ നിന്ന് ആക്ഷനബിൾ റിസ്കിലേക്ക്
ഈ വിടവ് നികത്തുന്നതിനായി, സൈജെനി DAST ഔട്ട്പുട്ടുകൾ നേരിട്ട് അതിലേക്ക് ഉൾക്കൊള്ളുന്നു ASPM എഞ്ചിൻ.
ഇതിൽ ഇനിപ്പറയുന്നതുപോലുള്ള ഉപകരണങ്ങളിൽ നിന്നുള്ള ഫലങ്ങൾ ഉൾപ്പെടുന്നു OWASP ZAP, അക്യുനെറ്റിക്സ് 360, മറ്റ് XML-അധിഷ്ഠിത സ്കാനറുകൾ.
അതിനുശേഷം, സൈജെനി റൺടൈം കണ്ടെത്തലുകളെ സ്റ്റാറ്റിക് സിഗ്നലുകളുമായും അസറ്റ് സന്ദർഭവുമായും പരസ്പരബന്ധിതമാക്കുന്നു.
സൈജെനി എന്താണ് ചെയ്യുന്നത്?
- DAST കണ്ടെത്തലുകൾ ഇതിലേക്ക് ഉൾക്കൊള്ളുന്നു ASPM
- റൺടൈം ഡാറ്റയുമായി പരസ്പരബന്ധിതമാക്കുന്നു SAST, SCA, കോൺഫിഗറേഷൻ സന്ദർഭം
- എക്സ്പോഷർ, അസറ്റ് മെറ്റാഡാറ്റ എന്നിവയിലെ പ്രശ്നങ്ങൾ സമ്പന്നമാക്കുന്നു
- എല്ലാ കണ്ടെത്തലുകളും ഒരു മൾട്ടി-സ്റ്റേജ് മുൻഗണനാ ഫണലിലൂടെ കടന്നുപോകുന്നു.
കാണാൻ കഴിയുന്നതുപോലെ, DAST ഒറ്റപ്പെട്ട ഒരു ഔട്ട്പുട്ടായി മാറുന്നില്ല, പലതിന്റെയും ഒരു സിഗ്നലായി മാറുന്നു.
DAST പ്രയോറിറ്റൈസേഷൻ ഫണൽ: റൺടൈം-അവെയർ ഫിൽട്ടറിംഗ്
എല്ലാ കണ്ടെത്തലുകളും തുല്യമായി പരിഗണിക്കുന്നതിനുപകരം, സൈജെനി ഒരു പുരോഗമന ഫണൽ പ്രയോഗിക്കുന്നു:
എല്ലാ പ്രശ്നങ്ങളും → ഇന്റർനെറ്റ് തുറന്നുകാട്ടൽ → ആധികാരികമല്ല → ബിസിനസ് മൂല്യം
ഓരോ ഘട്ടത്തിലും, കണ്ടെത്തലുകൾ ഇനിപ്പറയുന്നവയെ അടിസ്ഥാനമാക്കി ഫിൽട്ടർ ചെയ്യുന്നു:
- ബാഹ്യ എക്സ്പോഷർ
- പ്രാമാണീകരണ ആവശ്യകതകൾ
- റൺടൈം റീച്ചബിലിറ്റി
- ബിസിനസ് പ്രസക്തി
തൽഫലമായി, കുറഞ്ഞ ആഘാതമുള്ളതോ എത്തിച്ചേരാനാകാത്തതോ ആയ പ്രശ്നങ്ങൾ നേരത്തേ നീക്കം ചെയ്യപ്പെടുന്നു.
DevSecOps ടീമുകൾക്ക് ഇത് എന്തുകൊണ്ട് പ്രധാനമാകുന്നു
യഥാർത്ഥ ലോക എക്സ്പോഷർ വാലിഡേഷൻ
ലൈവ് സിസ്റ്റങ്ങളിലെ ചൂഷണക്ഷമത DAST സ്ഥിരീകരിക്കുന്നു. അതിനാൽ, ഉൽപാദനത്തിൽ ഒരിക്കലും സംഭവിക്കാത്ത ദുർബലതകൾ പരിഹരിക്കുന്നത് ടീമുകൾ നിർത്തുന്നു.
ശബ്ദത്തിനു മുകളിലുള്ള സിഗ്നൽ
ആന്തരികമായി മാത്രമുള്ള എൻഡ്പോയിന്റുകളും ആധികാരികമാക്കിയ പാതകളും നേരത്തെ തന്നെ ഇല്ലാതാകുന്നു. തൽഫലമായി, ബാക്ക്ലോഗുകൾ അമിതമാകുന്നതിനു പകരം പ്രവർത്തനക്ഷമമായി തുടരുന്നു.
വേഗതയേറിയതും മികച്ചതുമായ പരിഹാരമാർഗ്ഗം
റൺടൈം എക്സ്പോഷറും ആഘാതവും അടിസ്ഥാനമാക്കി എഞ്ചിനീയർമാർ ട്രയേജ് ചെയ്യുന്നു. ഈ രീതിയിൽ, ഫിക്സ് സൈക്കിളുകൾ ചെറുതാക്കുകയും പരിഹാര കൃത്യത മെച്ചപ്പെടുത്തുകയും ചെയ്യുന്നു.
ഏകീകൃത കാഴ്ച: കോഡ് → റൺ → റിസ്ക്
സ്റ്റാറ്റിക്, ഡൈനാമിക് സിഗ്നലുകളെ പരസ്പരം ബന്ധിപ്പിക്കുന്നതിലൂടെ, ASPM ബ്ലൈൻഡ് സ്പോട്ടുകൾ നീക്കം ചെയ്യുന്നു. അന്തിമ വിശകലനത്തിൽ, സുരക്ഷാ ഡിcisഅയോണുകൾ ഡാറ്റാധിഷ്ഠിതവും പ്രതിരോധാത്മകവുമായി മാറുന്നു.
DAST + ASPM തുടർച്ചയായ ഡെലിവറി പരിതസ്ഥിതികളിൽ
ആധുനിക ആപ്ലിക്കേഷനുകൾ തുടർച്ചയായി മാറുന്നു. അതിനാൽ, സുരക്ഷcisഅയോണുകൾ നിലവിലെ റൺടൈം സ്വഭാവത്തെ പ്രതിഫലിപ്പിക്കണം, മുമ്പ് നടത്തിയ അനുമാനങ്ങളല്ല SDLC.
DAST ഉള്ളിൽ ഉൾച്ചേർത്ത് ASPM:
- സുരക്ഷ യഥാർത്ഥ ആപ്ലിക്കേഷൻ സ്വഭാവവുമായി യോജിക്കുന്നു
- DevOps റിലീസ് വേഗത നിലനിർത്തുന്നു
- കാലക്രമേണ സുരക്ഷാ കടം കുറയുന്നു
ചുരുക്കത്തിൽ, സിസ്റ്റങ്ങൾ വികസിക്കുന്നതിനനുസരിച്ച് റൺടൈം-അവബോധ മുൻഗണന സുരക്ഷയെ പ്രസക്തമായി നിലനിർത്തുന്നു.
അവസാനിപ്പിക്കുക
DAST ഷോകൾ എന്ത് ആക്രമിക്കപ്പെടാം.
ASPM വിശദമാക്കുന്നു എന്താണ് ശരിക്കും പ്രധാനം.
ഒരുമിച്ച് എടുത്തത്, DAST കൂടാതെ ASPM കോഡിനും റൺടൈം എക്സ്പോഷറിനും ഇടയിലുള്ള വിടവ് നികത്തുക, കൃത്യമായ മുൻഗണന നൽകുക, കുറഞ്ഞ ശബ്ദം നൽകുക, ആധുനിക DevSecOps ടീമുകൾക്ക് ആത്മവിശ്വാസത്തോടെയുള്ള പരിഹാരങ്ങൾ നൽകുക.
