DAST مخفف Dynamic Application Security Testing است. در این روش به اپلیکیشن در حال اجرا درخواست فرستاده می‌شود تا رفتار ناامن از بیرون دیده شود. چون ابزار از مسیر HTTP و رفتار واقعی برنامه استفاده می‌کند، به سورس کد لزوماً نیازی ندارد.
| ابزار | موارد استفاده |
|---|---|
| OWASP ZAP | Proxy، Passive Scan و Active Scan مجاز |
| Burp Suite | تحلیل دستی و خودکار درخواست‌های وب |
| Nuclei | بررسی‌های Template محور روی سرویس مجاز |
| API Testing | تست قرارداد و برخی کنترل‌های امنیتی API |
چرخه بررسی در پروژه
- محیط Stage یا آزمایش دارای مجوز را مشخص کنید.
- حساب‌های آزمایشی با نقش‌های متفاوت بسازید.
- اسکن غیرفعال و سپس اسکن کنترل‌شده را اجرا کنید.
- موارد کشف‌شده را با تیم توسعه بازتولید و اصلاح کنید.
- نقص مجوزدهی آبجکتمحور را با سناریوی دستی هم بسنجید.
محدوده مجوز
اسکن فعال می‌تواند بار بالا یا تغییر داده ایجاد کند. بدون اجازه مالک سرویس اجرا نشود.
اصطلاحات مرتبط: تست امنیت ایستای نرم‌افزار، زپ اوواسپ، اس‌سی‌ای، تست امنیت نرم‌افزار، جعل درخواست بین‌سایتی.