လက်တွေ့တွင် လုံခြုံရေးအန္တရာယ်သည် ကုဒ်တွင်တင် ရပ်တန့်မနေပါ။ ၎င်းသည် မှန်ကန်နိုင်သော်လည်း၊ static analysis သည် ပြဿနာများကို အစောပိုင်းတွင် ရှာဖွေတွေ့ရှိသော်လည်း၊ application တစ်ခု အသက်ဝင်သွားသည်နှင့် မည်သည့် vulnerabilities များကို အသုံးချနိုင်ဆဲဖြစ်ကြောင်း အတည်မပြုနိုင်ပါ။ အကြောင်းပြချက်, DAST နှင့် ASPM အတူအလုပ်လုပ်ရမယ်။ runtime အပြုအမူကို code-level findings များနှင့် ချိတ်ဆက်ပြီး producti တွင် အမှန်တကယ် exposure ကို ဆုံးဖြတ်ရန်
တစ်နည်းအားဖြင့်ဆိုရသော် runtime context မပါဘဲ AppSec အဖွဲ့များသည် အထောက်အထားထက် ယူဆချက်များအပေါ် အခြေခံ၍ အားနည်းချက်များကို ဦးစားပေးကြသည်။ ရလဒ်အနေဖြင့် backlog များ ကြီးထွားလာပြီး၊ false positives များ စုပုံလာပြီး၊ အရေးကြီးသောပြဿနာများသည် သက်ရောက်မှုနည်းသော တွေ့ရှိချက်များနှင့် ရောနှောသွားသည်။ ဤနေရာတွင် DAST ကို ပေါင်းစပ်ခြင်းဖြစ်သည် ASPM runtime signal များသည် လက်တွေ့ကမ္ဘာအခြေအနေများအောက်တွင် reachability၊ exposure နှင့် exploitability ကို အတည်ပြုပေးသောကြောင့် equation ကို ပြောင်းလဲစေသည်။
DAST တစ်ခုတည်းနဲ့ ဘာလို့ မလုံလောက်တာလဲ
DAST သည် တိုက်ရိုက်အပလီကေးရှင်းများကို လက်တွေ့ကမ္ဘာတိုက်ခိုက်မှုများကို တုပသည်။ ရလဒ်အနေဖြင့် ၎င်းသည် static tools များ ဖြန့်ကျက်ခြင်းမပြုမီ မမြင်နိုင်သော ပြဿနာများကို ထောက်လှမ်းသည်။
သို့သော် DAST ကိရိယာများသည် လုံလောက်သော အကြောင်းအရာမရှိဘဲ ကြီးမားသော သတိပေးပမာဏများကို ပုံမှန်အားဖြင့် ထုတ်ပေးသည်။
ထို့ကြောင့် အသင်းများသည် အောက်ပါတို့ကို ရင်ဆိုင်ရပါသည်-
- ပြားချပ်ချပ် အားနည်းချက်စာရင်းများ
- ဦးစားပေးမှု အကန့်အသတ်ရှိသည်
- ကုဒ်နှင့် မှီခိုမှုများနှင့် ဆက်စပ်မှု ပျောက်ဆုံးနေသည်
မတူတာကတော့, ASPM ဤတွေ့ရှိချက်များကို အဓိပ္ပာယ်ဖွင့်ဆိုရန် လိုအပ်သောဖွဲ့စည်းပုံကို ပေးသည်။
DAST သည် runtime အားနည်းချက်များကို ဖော်ထုတ်ပေးသော်လည်း ဆက်စပ်မှုနှင့် ဦးစားပေးမှုမရှိဘဲ ၎င်း၏တွေ့ရှိချက်များသည် ဆူညံသံများနှင့် နှေးကွေးသော ပြုပြင်မှုများကို ဖန်တီးပေးနေဆဲဖြစ်သည်။
DAST မက်ဆေ့ချ်ပို့ခြင်း ASPMRuntime Signals မှ လက်တွေ့လုပ်ဆောင်နိုင်သော အန္တရာယ်အထိ
ဒီကွာဟချက်ကို ပိတ်ဖို့အတွက် Xygeni ဟာ DAST output တွေကို ၎င်းရဲ့ အစိတ်အပိုင်းထဲကို တိုက်ရိုက်ထည့်သွင်းပါတယ်။ ASPM အင်ဂျင်ကို။
၎င်းတွင် အောက်ပါကဲ့သို့သော ကိရိယာများမှ ရလဒ်များ ပါဝင်သည် OWASP ZAP, Acunetix 360နှင့် အခြား XML-အခြေခံ စကင်နာများ။
ထို့နောက် Xygeni သည် runtime find များကို static signals များနှင့် asset context တို့နှင့် ဆက်စပ်ပေးသည်။
Xygeni ဘာလုပ်သလဲ
- DAST တွေ့ရှိချက်များကို ထည့်သွင်းသည် ASPM
- runtime data ကို ဆက်စပ်ပေးသည် SAST, SCAနှင့် ဖွဲ့စည်းပုံဆိုင်ရာ အကြောင်းအရာ
- ပြဿနာများကို ဖော်ထုတ်မှုနှင့် ပိုင်ဆိုင်မှု မက်တာဒေတာဖြင့် ပိုမိုကောင်းမွန်အောင် ပြုလုပ်သည်
- တွေ့ရှိချက်အားလုံးကို အဆင့်များစွာပါဝင်သော ဦးစားပေးရွေးချယ်မှု လမ်းကြောင်းမှတစ်ဆင့် ဖြတ်သန်းသွားသည်
မြင်တွေ့ရသည့်အတိုင်း DAST သည် သီးခြားအထွက်တစ်ခု မဟုတ်ဘဲ အချက်ပြမှုများစွာထဲမှ တစ်ခု ဖြစ်လာသည်။
DAST ဦးစားပေးမှု လမ်းကြောင်း- Runtime-Aware စစ်ထုတ်ခြင်း
တွေ့ရှိချက်အားလုံးကို တန်းတူဆက်ဆံမည့်အစား၊ Xygeni သည် progressive funnel ကို အသုံးပြုသည်-
ပြဿနာအားလုံး → အင်တာနက် ဖော်ထုတ်ခံရ → အထောက်အထားမခိုင်လုံ → စီးပွားရေးတန်ဖိုး
အဆင့်တိုင်းတွင်၊ တွေ့ရှိချက်များကို အောက်ပါအချက်များအပေါ် အခြေခံ၍ စစ်ထုတ်သည်-
- ပြင်ပထိတွေ့မှု
- စစ်မှန်ကြောင်းအထောက်အထားလိုအပ်ချက်များ
- လည်ပတ်ချိန်ရောက်ရှိနိုင်မှု
- စီးပွားရေးဆိုင်ရာ ဆက်စပ်မှု
ရလဒ်အနေဖြင့် သက်ရောက်မှုနည်းသော သို့မဟုတ် ရောက်ရှိရန်မလွယ်ကူသော ပြဿနာများကို စောစောစီးစီး ဖယ်ရှားပစ်ပါသည်။
DevSecOps အဖွဲ့များအတွက် အဘယ်ကြောင့် ၎င်းသည် အရေးကြီးသနည်း။
လက်တွေ့ကမ္ဘာတွင် ထိတွေ့မှု အတည်ပြုခြင်း
DAST သည် တိုက်ရိုက်စနစ်များတွင် အသုံးချနိုင်မှုကို အတည်ပြုပါသည်။ ထို့ကြောင့် အဖွဲ့များသည် ထုတ်လုပ်မှုတွင် ဘယ်တော့မှ မပေါ်လာသော အားနည်းချက်များကို ပြင်ဆင်ခြင်းကို ရပ်တန့်ကြသည်။
ဆူညံသံထက် အချက်ပြမှု
အတွင်းပိုင်းသီးသန့် endpoint များနှင့် စစ်မှန်ကြောင်းအထောက်အထားပြထားသော path များသည် စောစောစီးစီး ပျောက်ကွယ်သွားပါသည်။ ထို့ကြောင့် backlog များသည် အလွန်အကျွံဖြစ်နေမည့်အစား လုပ်ဆောင်နိုင်ဆဲဖြစ်သည်။
ပိုမိုမြန်ဆန်ပြီး ထက်မြက်သော ပြုပြင်မှု
အင်ဂျင်နီယာများသည် လည်ပတ်ချိန်ထိတွေ့မှုနှင့် သက်ရောက်မှုအပေါ် အခြေခံ၍ အမျိုးအစားခွဲခြားကြသည်။ ဤနည်းအားဖြင့် ပြင်ဆင်မှုစက်ဝန်းများ တိုတောင်းလာပြီး ပြန်လည်ပြုပြင်မှုတိကျမှု တိုးတက်လာပါသည်။
ပေါင်းစည်းထားသော မြင်ကွင်း- ကုဒ် → လုပ်ဆောင်ရန် → အန္တရာယ်
static နဲ့ dynamic signal တွေကို ဆက်စပ်ပေးခြင်းအားဖြင့် ASPM မျက်ကွယ်အစက်အပြောက်များကို ဖယ်ရှားပေးသည်။ နောက်ဆုံးခွဲခြမ်းစိတ်ဖြာမှုတွင်၊ လုံခြုံရေးသည်cisအိုင်းယွန်များသည် ဒေတာကို အခြေခံပြီး ခုခံကာကွယ်နိုင်လာသည်။
DAST + ASPM စဉ်ဆက်မပြတ် ပို့ဆောင်ပေးသည့် ပတ်ဝန်းကျင်များတွင်
ခေတ်သစ်အသုံးချမှုများသည် အဆက်မပြတ်ပြောင်းလဲနေပါသည်။ ထို့ကြောင့် လုံခြုံရေးဆိုင်ရာcisအိုင်းယွန်များသည် လက်ရှိ runtime အပြုအမူကို ထင်ဟပ်ရမည်၊ အစောပိုင်းက ပြုလုပ်ခဲ့သော ယူဆချက်များ မဟုတ်ပါ။ SDLC.
DAST ကို ထည့်သွင်းခြင်းဖြင့် ASPM:
- လုံခြုံရေးသည် တကယ့်အပလီကေးရှင်းအပြုအမူနှင့် ကိုက်ညီပါသည်
- DevOps သည် ထုတ်လွှင့်မှုအမြန်နှုန်းကို ထိန်းသိမ်းထားသည်
- လုံခြုံရေးအကြွေးသည် အချိန်နှင့်အမျှ လျော့နည်းသွားသည်
အတိုချုပ်ပြောရလျှင် runtime-aware priorityization သည် စနစ်များ တိုးတက်ပြောင်းလဲလာသည်နှင့်အမျှ လုံခြုံရေးကို သက်ဆိုင်စေပါသည်။
နိဂုံးချုပ်ရန်
DAST ပြပွဲများ ဘာတွေတိုက်ခိုက်နိုင်လဲ.
ASPM ကရှင်းပြသည် ဘာအရေးကြီးလဲ။.
ပေါင်းစပ်ယူထားသည်၊ DAST နှင့် ASPM ကုဒ်နှင့် runtime exposure အကြားကွာဟချက်ကို ပိတ်ပေးပြီး၊ ခေတ်မီ DevSecOps အဖွဲ့များအတွက် တိကျသော ဦးစားပေးမှု၊ ဆူညံသံလျှော့ချမှုနှင့် ယုံကြည်စိတ်ချရသော ပြုပြင်မွမ်းမံမှုများကို ပေးဆောင်ပါသည်။
