பற்றி ஆர்வம் என்ன IAST என்பது இன்டராக்டிவ் அப்ளிகேஷன் செக்யூரிட்டி டெஸ்டிங் (Interactive Application Security Testing) ஆ? தொடர்ந்து படியுங்கள்.
வரையறை:
IAST என்றால் என்ன? #
ஊடாடும் பயன்பாட்டுப் பாதுகாப்புச் சோதனை (IAST) என்பது ஒரு வகை டைனமிக் சோதனையாகும். இது பயன்பாடு இயங்கிக்கொண்டிருக்கும்போதே, அதன் அடிப்படைக் குறியீட்டை அணுகி பாதுகாப்புக் குறைபாடுகளைக் கண்டறிகிறது. நிலையான பயன்பாட்டுப் பாதுகாப்புச் சோதனையைப் போலல்லாமல், IAST-இன் பயன்பாடு, ஒரு டைனமிக் சோதனையாகும்.SASTஇயங்குநேரமல்லாத சூழலில் குறியீட்டைப் பகுப்பாய்வு செய்யும் IAST (டைனமிக் அப்ளிகேஷன் செக்யூரிட்டி டெஸ்டிங்), மற்றும் வெளிப்புறத்திலிருந்து சோதிக்கும் டைனமிக் அப்ளிகேஷன் செக்யூரிட்டி டெஸ்டிங் (DAST) – அதாவது முழுமையான பயன்பாட்டு இயங்குநேரத்திற்குள் இயங்குவது – என இரண்டு வகைகள் உள்ளன. இந்த வகையான கலப்பினமே ஒரு IAST கருவியை தனித்துவமானதாக ஆக்குகிறது. SAST மேலும் அதே நேரத்தில் DAST-ம் செயல்படுகிறது, அது நிகழ்நேர சூழல் சார்ந்த பாதிப்புகளைக் கண்டறிய உதவுகிறது. IAST என்றால் என்ன என்பதை இப்போது சுருக்கமாக விளக்கிவிட்டோம், இனி விரிவாகப் பார்ப்போம்.
IAST எவ்வாறு செயல்படுகிறது #
IAST கருவிகள், ஒரு பயன்பாட்டின் குறியீட்டுத் தொகுப்பு அல்லது இயக்கச் சூழலுக்குள் சென்சார்களைப் பொருத்துவதன் மூலம் செயல்படுகின்றன. இந்த சென்சார்கள் தரவுப் பாய்வுகள், பயனர் உள்ளீடுகள் மற்றும் குறியீட்டு இடைவினைகளை நிகழ்நேரத்தில் கண்காணித்து, பயன்பாட்டிற்குள் இருக்கக்கூடிய பாதிப்புக்குள்ளாகக்கூடிய இடங்களைக் கண்டறிகின்றன. ஊடாடும் பயன்பாட்டுப் பாதுகாப்புச் சோதனைக் கருவிகளுக்குத் தனிப்பயன் சோதனைக் கேஸ்கள் அல்லது ஸ்கிரிப்டுகளை எழுத வேண்டிய அவசியமில்லை, ஏனெனில் அவை பயன்பாட்டின் நடத்தைகளைத் தூண்டிப் பகுப்பாய்வு செய்ய, ஏற்கனவே உள்ள செயல்பாட்டுச் சோதனைகள் அல்லது தர உறுதி செயல்முறைகளைப் பயன்படுத்துகின்றன. கூடுதல் சோதனைச் சுழற்சிகள் இல்லாமல், பாதிப்புகளைத் தானாகவே கண்டறியும் இந்தத் திறன், தடையற்ற ஒருங்கிணைப்பிற்கு வழிவகுக்கிறது. CI/CD pipelineமேம்பாட்டு வாழ்க்கைச் சுழற்சியின் போது நிகழ்நேர பின்னூட்டம்.
IAST இன் சில முக்கிய கூறுகள் #
- கருவி: IAST கருவிகள், பயன்பாட்டின் மூலக் குறியீடு அல்லது இயக்கச் சூழலில் சென்சார்களைச் செருகி, கோரிக்கைகள், பதில்கள் மற்றும் குறியீடு செயல்படுத்தும் பாதைகளைக் கண்காணிக்க உதவுகின்றன.
- நிகழ்நேர பகுப்பாய்வு: பயன்பாடு இயங்கும்போது, ஊடாடும் பயன்பாட்டுப் பாதுகாப்புச் சோதனைக் கருவிகள், பயன்பாட்டின் இயக்கச் சூழலில் உள்ள பாதிப்புகளைக் கண்டறிவதற்காக, குறியீட்டின் செயல்பாடு, உள்ளீட்டுச் சரிபார்ப்பு, தரவுப் பாய்வுகள் மற்றும் ஊடாடல்களைக் கண்காணிக்கின்றன.
- சூழல் சார்ந்த பாதிப்பு கண்டறிதல்: உள்ளமைவுகள், சார்புநிலைகள் மற்றும் தரவு கையாளும் நடைமுறைகள் போன்ற காரணிகளைக் கருத்தில் கொண்டு, பயன்பாட்டின் இயக்க நேரத்தின் உண்மையான சூழலிலேயே பாதுகாப்புக் குறைபாடுகளைப் பகுப்பாய்வு செய்வதால், இந்தக் கருவிகள் குறிப்பாகப் பயனுள்ளதாக இருக்கின்றன. இது, பாரம்பரியப் பாதுகாப்புச் சோதனை முறைகளில் அடிக்கடி காணப்படும் தவறான நேர்மறை முடிவுகளைக் குறைக்க வழிவகுக்கிறது.
ஊடாடும் பயன்பாட்டுப் பாதுகாப்புச் சோதனையின் (IAST) சில நன்மைகள் #
ஊடாடும் பயன்பாட்டுப் பாதுகாப்புச் சோதனையானது, குறிப்பாக DevOps நடைமுறைகளுக்குள் பாதுகாப்பை ஒருங்கிணைக்க விரும்பும் மேம்பாட்டுக் குழுக்கள் மற்றும் பாதுகாப்பு மேலாளர்களுக்குப் பல குறிப்பிடத்தக்க நன்மைகளை வழங்குகிறது:
- கண்டறிதலில் உயர் துல்லியம்: அதன் நிகழ்நேர, சூழல் சார்ந்த பகுப்பாய்வின் காரணமாக, IAST கருவிகள் பாரம்பரிய கருவிகளை விட குறைவான தவறான நேர்மறைகளையே பெரும்பாலும் தெரிவிக்கின்றன. SAST அல்லது DAST கருவிகள், மேலும் துல்லியமான முடிவுகளுக்கு வழிவகுக்கின்றன. உடனடி மற்றும் நம்பகமான பின்னூட்டம் மிக அவசியமான சுறுசுறுப்பான சூழல்களில் இது குறிப்பாகப் பயனளிக்கிறது.
- ஆரம்ப மற்றும் தொடர்ச்சியான பாதுகாப்பு சோதனை: பயன்பாடு இயங்கும்போது IAST தொடர்ச்சியாக இயங்க முடியும், இது மேம்பாட்டுச் சுழற்சியில் உள்ள பாதுகாப்பு குறைபாடுகளை முன்கூட்டியே கண்டறிய உதவுகிறது. இந்தத் திறன், மென்பொருள் மேம்பாட்டு வாழ்க்கைச் சுழற்சியின் ஒவ்வொரு கட்டத்திலும் பாதுகாப்புச் சோதனை உட்பொதிக்கப்படுவதை உறுதி செய்வதன் மூலம், DevSecOps கொள்கைகளுடன் நன்கு ஒத்துப்போகிறது.SDLC).
- செலவு குறைந்த பாதிப்பு மேலாண்மை: பாதுகாப்புக் குறைபாடுகளை முன்கூட்டியே கண்டறிதல் SDLCIAST சாத்தியமாக்குவது போல, உற்பத்தியின் பிற்பகுதியில் கண்டறியப்படும் சிக்கல்களைத் தீர்ப்பதை விட இது கணிசமாக அதிக செலவு குறைந்ததாகும். மேலும், IAST தனித்தனியான, கைமுறை பாதுகாப்புச் சோதனைகளின் தேவையையும் குறைத்து, வளங்களையும் நேரத்தையும் சேமிக்கிறது.
- மேம்பாடு மற்றும் பாதுகாப்பு குழுக்களுக்கு இடையேயான மேம்படுத்தப்பட்ட ஒத்துழைப்புஇயக்கச் சூழலுக்குள் பாதுகாப்புச் சோதனைகளை உட்பொதிப்பதன் மூலம், ஊடாடும் பயன்பாட்டுப் பாதுகாப்புச் சோதனையானது, பாதுகாப்புக் குழுக்கள் உருவாக்குநர்களுடன் மிகவும் நெருக்கமாகப் பணியாற்றவும், பாதுகாப்பிற்கான பகிரப்பட்ட பொறுப்பை வளர்க்கவும் அனுமதிக்கிறது. உருவாக்கக் குழுக்கள் தாங்கள் ஏற்கனவே பயன்படுத்தும் கருவிகளுக்குள்ளேயே பாதிப்புகள் குறித்த நிகழ்நேரப் பின்னூட்டத்தைப் பெறுவதால், சிக்கல்களை உடனடியாகத் தீர்க்க அவர்களுக்கு இது உதவுகிறது.
IAST ஆல் கண்டறியப்பட்ட பொதுவான பாதிப்புகள் #
IAST கருவிகள், ஒரு பயன்பாட்டின் பல்வேறு அடுக்குகளில் உள்ள பலவிதமான பாதிப்புகளைக் கண்டறிவதில் மிகவும் திறம்படச் செயல்படுகின்றன; அவற்றுள் சில:
ஊடுருவல் குறைபாடுகள், குறுக்கு-தள ஸ்கிரிப்டிங் (XSS), குறுக்கு-தள கோரிக்கை மோசடி (CSRF) பாதுகாப்பற்ற நேரடி பொருள் குறிப்புகள் (IDOR), பாதுகாப்பற்ற தரவு கையாளுதல், பலவீனமான அங்கீகார வழிமுறைகள்
மற்ற சோதனை முறைகளுடன் ஒப்பீடு #
ஐஏஎஸ்டி எதிராக SAST
நிலையான பயன்பாட்டு பாதுகாப்பு சோதனை நிலையான, இயங்குநேரமற்ற சூழலில் குறியீட்டைப் பகுப்பாய்வு செய்கிறது. இது உருவாக்கச் செயல்முறையின் ஆரம்பத்திலேயே செய்யப்படுகிறது, மேலும் இதற்கு ஒரு செயலி இயங்க வேண்டிய அவசியமில்லை.
மறுபுறம், IAST செயலி இயங்கிக்கொண்டிருக்கும்போதே அதை பகுப்பாய்வு செய்து, சூழலுக்கு மிகவும் பொருத்தமான பாதிப்பு கண்டறிதலை வழங்குகிறது.
IAST vs. DAST
டைனமிக் பயன்பாட்டு பாதுகாப்பு சோதனை இது ஒரு வெளிப்புறக் கண்ணோட்டத்தில் இருந்து செயல்பட்டு, குறியீட்டிற்கான நேரடி அணுகல் இல்லாமல், பயன்பாடுகளை அவற்றின் இயக்க நேரச் சூழலிலேயே சோதிக்கிறது. இது நிஜ உலகத் தாக்குதல்களை உருவகப்படுத்துகிறது, ஆனால் IAST-இன் சூழல் சார்ந்த நுண்ணறிவுகள் இதில் இல்லாமல் இருக்கலாம்.
IAST, உள் செயல்முறைகளை நிகழ்நேரத்தில் கண்காணிப்பதன் மூலம் அதிகத் துல்லியத்தை வழங்குகிறது, இது மேலும் முன்கூட்டியே தீர்மானிக்க அனுமதிக்கிறது.cisமற்றும் செயல்படுத்தக்கூடிய முடிவுகள்.
IAST vs. RASP
இயக்க நேர பயன்பாடு சுய-பாதுகாப்பு (RASP) என்பது, பயன்பாட்டிற்குள் சந்தேகத்திற்கிடமான நடத்தைகளைத் தடுப்பதன் மூலம், நிகழ்நேரத்தில் தாக்குதல்களைத் தீவிரமாகத் தடுப்பதற்காக வடிவமைக்கப்பட்டுள்ளது. இது பொதுவாக உற்பத்திச் சூழல்களில் இயங்கு நேரத்தில் செயல்படுகிறது.
IAST ஆனது, உற்பத்திச் சூழலில் தாக்குதல்களைத் தடுப்பதை விட, மேம்பாட்டுச் செயல்முறையின் போது பாதுகாப்பு குறைபாடுகளைக் கண்டறிவதில் முதன்மையாகக் கவனம் செலுத்துகிறது.
IAST என்றால் என்ன – முடிவுரை #
IAST என்றால் என்ன என்பது பற்றிய இந்தச் சொற்களஞ்சியத்தை நிறைவு செய்யும் விதமாக, சுருக்கமாகச் சொல்வதென்றால்: இது ஒரு செயலியின் பல பகுதிகளை நேரலைச் சூழலில் சோதிப்பதன் மூலம், அதில் உள்ள பாதிப்புகளைக் கண்டறிவதற்கான ஒரு தீவிரமான முறையாகும். IAST குறைவான தவறான முடிவுகளுடன் அதிகத் துல்லியத்தை வழங்குகிறது, இதன்மூலம் மேம்பாடு மற்றும் பாதுகாப்புக் குழுக்கள் சுறுசுறுப்பான மற்றும் நெகிழ்வான அணுகுமுறைகளுக்காக மிகவும் தடையின்றி இணைந்து பணியாற்ற இது வழிவகுக்கிறது. CI/CDமற்றும் DevSecOps பணிப்பாய்வுகள். அந்த நடைமுறைகளை, சரியான கருவிகளுடன் இணைத்துப் பயன்படுத்துவதன் மூலம், நிறுவனங்கள் மென்பொருள் மேம்பாட்டு வாழ்க்கைச் சுழற்சியின் ஆரம்பத்திலேயே பாதுகாப்பு பாதிப்புகளைக் கண்டறிந்து தீர்க்க முடியும்.SDLCபயன்பாட்டின் ஒட்டுமொத்த பாதுகாப்பை மேம்படுத்துவதற்காக.
