ในทางปฏิบัติ ความเสี่ยงด้านความปลอดภัยไม่ได้หยุดอยู่แค่ที่โค้ด แม้ว่าจะเป็นเช่นนั้นจริง เพราะการวิเคราะห์แบบคงที่ (static analysis) ช่วยค้นหาปัญหาได้ตั้งแต่เนิ่นๆ แต่ก็ไม่สามารถยืนยันได้ว่าช่องโหว่ใดบ้างที่ยังคงสามารถใช้ประโยชน์ได้เมื่อแอปพลิเคชันเปิดใช้งานแล้ว ด้วยเหตุผลนั้น, ดาสท์และ ASPM จะต้องทำงานร่วมกัน เพื่อเชื่อมโยงพฤติกรรมขณะรันไทม์กับสิ่งที่ค้นพบในระดับโค้ด และระบุความเสี่ยงที่แท้จริงในการใช้งานจริง
กล่าวอีกนัยหนึ่งคือ หากไม่มีบริบทขณะทำงาน ทีมรักษาความปลอดภัยแอปพลิเคชันจะจัดลำดับความสำคัญของช่องโหว่โดยอาศัยสมมติฐานมากกว่าหลักฐาน ส่งผลให้งานค้างเพิ่มขึ้น การตรวจจับผิดพลาดสะสมมากขึ้น และปัญหาสำคัญปะปนกับปัญหาที่มีผลกระทบน้อย นี่คือจุดที่การรวม DAST เข้ากับ... ASPM สิ่งนี้เปลี่ยนสมการ เพราะสัญญาณขณะทำงานจะตรวจสอบความสามารถในการเข้าถึง การเปิดเผย และความสามารถในการใช้ประโยชน์ภายใต้สภาวะในโลกแห่งความเป็นจริง
เหตุใดโครงการ DAST เพียงอย่างเดียวจึงไม่เพียงพอ
DAST จำลองการโจมตีในโลกแห่งความเป็นจริงกับแอปพลิเคชันที่ใช้งานอยู่ ส่งผลให้สามารถตรวจจับปัญหาที่เครื่องมือแบบคงที่ตรวจไม่พบก่อนการใช้งานจริง
อย่างไรก็ตาม เครื่องมือ DAST มักสร้างการแจ้งเตือนจำนวนมากโดยปราศจากบริบทที่เพียงพอ
ดังนั้น ทีมต่างๆ จึงต้องเผชิญกับ:
- รายการช่องโหว่แบบเรียบ
- การจัดลำดับความสำคัญที่จำกัด
- ขาดความสัมพันธ์กับโค้ดและส่วนประกอบต่างๆ
ในทางตรงกันข้าม, ASPM จัดเตรียมโครงสร้างที่จำเป็นสำหรับการตีความผลการค้นพบเหล่านี้
DAST เปิดเผยช่องโหว่ขณะรันไทม์ แต่หากขาดการเชื่อมโยงและการจัดลำดับความสำคัญ ผลการค้นพบก็ยังคงสร้างความสับสนและทำให้การแก้ไขล่าช้า
การป้อนข้อมูล DAST ใน ASPMจากสัญญาณขณะทำงานสู่การประเมินความเสี่ยงที่นำไปปฏิบัติได้จริง
เพื่ออุดช่องว่างนี้ Xygeni จึงนำเอาผลลัพธ์จาก DAST เข้าสู่ตัวมันเองโดยตรง ASPM เครื่องยนต์
ซึ่งรวมถึงผลลัพธ์จากเครื่องมือต่างๆ เช่น OWASP แซ็ป, อะคูเนติกซ์ 360และสแกนเนอร์อื่นๆ ที่ใช้ XML เป็นพื้นฐาน
หลังจากนั้น Xygeni จะเชื่อมโยงผลลัพธ์ที่ได้จากการทำงานจริงกับสัญญาณคงที่และบริบทของสินทรัพย์
Xygeni ทำอะไรบ้าง
- นำผลการตรวจ DAST เข้าสู่กระบวนการ ASPM
- เชื่อมโยงข้อมูลเวลาการทำงานกับ SAST, SCAและบริบทการกำหนดค่า
- เพิ่มรายละเอียดเกี่ยวกับการเปิดเผยข้อมูลและเมตาเดตาของสินทรัพย์ให้กับประเด็นต่างๆ
- นำผลการค้นพบทั้งหมดผ่านกระบวนการจัดลำดับความสำคัญหลายขั้นตอน
ดังที่เห็นได้ DAST กลายเป็นสัญญาณหนึ่งในหลายๆ สัญญาณ ไม่ใช่สัญญาณเอาต์พุตที่แยกออกมาต่างหาก
กรวยการจัดลำดับความสำคัญของ DAST: การกรองที่คำนึงถึงเวลาการทำงาน
แทนที่จะปฏิบัติต่อผลการค้นพบทั้งหมดอย่างเท่าเทียมกัน Xygeni ใช้วิธีการคัดกรองแบบค่อยเป็นค่อยไป:
ปัญหาทั้งหมด → เปิดเผยสู่สาธารณะทางอินเทอร์เน็ต → ไม่ได้รับการยืนยันตัวตน → มูลค่าทางธุรกิจ
ในแต่ละขั้นตอน ผลการค้นหาจะถูกคัดกรองโดยพิจารณาจากเกณฑ์ดังต่อไปนี้:
- การสัมผัสจากภายนอก
- ข้อกำหนดการรับรองความถูกต้อง
- ความสามารถในการเข้าถึงขณะรันไทม์
- ความเกี่ยวข้องทางธุรกิจ
ด้วยเหตุนี้ ปัญหาที่มีผลกระทบน้อยหรือไม่สามารถแก้ไขได้จึงถูกกำจัดออกไปตั้งแต่เนิ่นๆ
เหตุใดเรื่องนี้จึงสำคัญสำหรับทีม DevSecOps
การตรวจสอบความถูกต้องของการสัมผัสในโลกแห่งความเป็นจริง
DAST ยืนยันความสามารถในการโจมตีบนระบบใช้งานจริง ดังนั้น ทีมงานจึงหยุดแก้ไขช่องโหว่ที่ไม่มีวันเกิดขึ้นจริงในระบบการผลิต
สัญญาณเด่นกว่าสัญญาณรบกวน
ปลายทางภายในและเส้นทางที่ต้องมีการตรวจสอบสิทธิ์จะถูกตัดออกตั้งแต่เนิ่นๆ ส่งผลให้งานค้างยังคงอยู่ในระดับที่สามารถดำเนินการได้ แทนที่จะกลายเป็นภาระที่มากเกินไป
การแก้ไขปัญหาที่รวดเร็วและชาญฉลาดกว่าเดิม
วิศวกรจะจัดลำดับความสำคัญของปัญหาโดยพิจารณาจากระยะเวลาการใช้งานและผลกระทบ ด้วยวิธีนี้ วงจรการแก้ไขปัญหาจะสั้นลงและความแม่นยำในการแก้ไขปัญหาจะดีขึ้น
มุมมองแบบบูรณาการ: โค้ด → รัน → ความเสี่ยง
โดยการเชื่อมโยงสัญญาณคงที่และสัญญาณเคลื่อนไหวเข้าด้วยกัน ASPM ช่วยขจัดจุดบอด ในท้ายที่สุดแล้ว ระบบรักษาความปลอดภัยcisไอออนกลายเป็นสิ่งที่ขับเคลื่อนด้วยข้อมูลและสามารถพิสูจน์ได้
ดาสท์ + ASPM ในสภาพแวดล้อมการส่งมอบอย่างต่อเนื่อง
แอปพลิเคชันในปัจจุบันมีการเปลี่ยนแปลงอย่างต่อเนื่อง ด้วยเหตุนี้ การรักษาความปลอดภัยจึงมีความสำคัญมากขึ้นcisไอออนต้องสะท้อนพฤติกรรมการทำงานในปัจจุบัน ไม่ใช่สมมติฐานที่ตั้งไว้ก่อนหน้านี้ SDLC.
โดยการฝัง DAST ไว้ภายใน ASPM:
- ระบบรักษาความปลอดภัยสอดคล้องกับพฤติกรรมการใช้งานจริง
- DevOps ช่วยรักษาความเร็วในการปล่อยเวอร์ชันใหม่
- หนี้หลักทรัพย์จะลดลงเมื่อเวลาผ่านไป
กล่าวโดยสรุป การจัดลำดับความสำคัญตามสถานะการทำงานช่วยให้ระบบรักษาความปลอดภัยยังคงมีความเกี่ยวข้องอยู่เสมอแม้ระบบจะมีการพัฒนาไปเรื่อยๆ
สรุป
DAST แสดงให้เห็นว่า สิ่งที่สามารถถูกโจมตีได้.
ASPM อธิบาย สิ่งที่สำคัญจริงๆ.
เมื่อนำมารวมกัน, DAST และ ASPM ลดช่องว่างระหว่างการเปิดเผยข้อมูลในโค้ดและขณะรันไทม์ ส่งผลให้การจัดลำดับความสำคัญแม่นยำขึ้น ลดสัญญาณรบกวน และแก้ไขปัญหาได้อย่างมั่นใจสำหรับทีม DevSecOps ยุคใหม่
