Como resultado del floreciente mercado de aplicaciones en la nube, las empresas están cada vez más —y racionalmente— preocupadas por la seguridad de sus aplicaciones y los datos asociados con ellas.

Existen cientos, si no miles, de riesgos de seguridad para todo tipo de aplicaciones. También hay cientos de herramientas disponibles hoy en día que están diseñadas para abordar esos riesgos y remediar problemas antes de que ocurra un ataque. Dos de las soluciones más comúnmente utilizadas son el software de pruebas de seguridad de aplicaciones estáticas (SAST) y el software de pruebas de seguridad de aplicaciones dinámicas (DAST).

SAST vs. DAST: Explicación de las pruebas de seguridad de aplicaciones

SAST y DAST son dos clases de herramientas de pruebas de seguridad que adoptan un enfoque único para resolver problemas relacionados con la seguridad de aplicaciones. Las herramientas SAST analizan los componentes subyacentes de una aplicación para identificar fallos y problemas en el propio código. Las herramientas DAST prueban aplicaciones en funcionamiento para detectar vulnerabilidades externas en la interfaz de la aplicación. Ambas herramientas son completamente necesarias, pero analizan la seguridad de las aplicaciones de maneras muy diferentes.

¿Qué es la prueba de seguridad de aplicaciones estáticas?

Las herramientas de pruebas de seguridad de aplicaciones estáticas (SAST) son soluciones de pruebas de caja blanca, lo que significa que requieren acceso al código fuente para funcionar. Las herramientas SAST ayudan a los desarrolladores de software y a los profesionales de seguridad a analizar el código fuente subyacente de una aplicación en busca de fallos y vulnerabilidades.

Las pruebas de caja blanca, o de caja blanca, requieren que los usuarios posean información relacionada con el código y la arquitectura de seguridad para examinar el código no compilado. Las herramientas SAST son notorias por marcar código seguro (falsos positivos) porque no ejecutan realmente el código. Aun así, estas herramientas son altamente efectivas para identificar problemas temprano en el ciclo de vida del desarrollo de software, como errores numéricos, peligros de carrera o travesías de directorios, entre muchos otros.

Debido a que las herramientas SAST son capaces de descubrir problemas de código fuente, son comúnmente utilizadas por equipos ágiles y de DevOps. Estos problemas son típicamente fáciles de corregir, pero no examinan la aplicación desde un punto de vista funcional. Esos problemas requieren herramientas de prueba adicionales que permitan a los desarrolladores ver la aplicación desde la perspectiva de un hacker externo.

¿Qué es la prueba de seguridad de aplicaciones dinámicas (DAST)?

Las herramientas de pruebas de seguridad de aplicaciones dinámicas (DAST) se utilizan para pruebas de caja negra. Esto significa que las pruebas se realizan desde fuera de una aplicación en funcionamiento, en lugar de en su código fuente.

Las herramientas DAST son capaces de descubrir vulnerabilidades explotables, incluyendo inyección SQL, secuencias de comandos entre sitios y problemas de autenticación, entre otros. Este método ofrece a los profesionales de seguridad y a los desarrolladores una perspectiva de terceros sobre las amenazas, viendo una aplicación de manera similar a como lo haría un hacker externo a la organización.

Las herramientas DAST imitan la funcionalidad del mundo real, permitiendo a los usuarios ver cómo responde una aplicación a ciertas amenazas o acciones comunes. Como tal, la aplicación necesita estar en un estado funcional para ser probada. Las herramientas DAST son generalmente más efectivas para identificar amenazas durante el final del ciclo de vida del desarrollo. Los problemas en etapas tardías pueden implicar la corrección de múltiples componentes de una aplicación y pueden ser críticos para asegurar la funcionalidad.

Las herramientas DAST permiten a los usuarios simular ataques y amenazas realistas para descubrir vulnerabilidades que no se encuentran en el código fuente de una aplicación. Son herramientas flexibles y personalizables utilizadas para una evaluación integral de aplicaciones de todos los tamaños.

Pruebas de seguridad de aplicaciones interactivas

Las herramientas SAST y DAST se utilizan típicamente para complementarse entre sí, abordando problemas de seguridad relacionados con amenazas tanto internas como externas. El uso de estas herramientas juntas se conoce comúnmente como pruebas de seguridad de aplicaciones interactivas (IAST).

IAST es un enfoque híbrido que combina estas técnicas para identificar cómo la funcionalidad de la aplicación y su arquitectura subyacente pueden afectar los resultados de las pruebas dinámicas. Las herramientas IAST, o la combinación de herramientas SAST y DAST, pueden identificar fallos en el código que no aparecen como vulnerabilidades en un escaneo inicial del código, pero que presentan problemas cuando la aplicación está en funcionamiento.

Los usuarios a menudo simulan entornos específicos para realizar pruebas condicionales e informar sobre cómo diferentes flujos de datos y escenarios afectan el rendimiento y la seguridad de la aplicación. El uso de las herramientas en conjunto es conocido por reducir el tiempo de prueba y la frecuencia con la que ocurren falsos positivos, convirtiéndolo en un método popular para equipos ágiles y de DevOps.

Otras herramientas de pruebas de seguridad de aplicaciones

Escáneres de vulnerabilidades

Los escáneres de vulnerabilidades están estrechamente relacionados con las herramientas DAST, y algunos consideran que son lo mismo. En términos de funcionalidad, sin embargo, DAST es simplemente un componente del escaneo de vulnerabilidades. Los escáneres de vulnerabilidades ofrecen una amplia gama de capacidades de prueba para realizar operaciones DAST, pero también para analizar una serie de factores de riesgo adicionales relacionados con la seguridad en todo tipo de aplicaciones, redes y sitios web.

Herramientas de pruebas de penetración

Si bien algunos productos DAST ofrecen pruebas de penetración como una característica, la penetración es un tipo de prueba muy específico, solo una de muchas pruebas de seguridad que requieren una aplicación en funcionamiento. Las pruebas de penetración identifican vulnerabilidades en el punto de acceso o evalúan cortafuegos, puertos y servidores.

Herramientas RASP

RASP significa protección de aplicaciones en tiempo de ejecución. RASP es diferente a SAST y DAST en que la herramienta realmente vive y opera dentro de una aplicación a nivel del sistema operativo. Las herramientas RASP monitorean la funcionalidad de las aplicaciones mientras operan para detectar incidentes y alertar a los equipos de seguridad de los ataques a medida que surgen.

Herramientas de análisis estático

Las herramientas de análisis de código estático son muy similares a los productos SAST en que analizan el código fuente de una aplicación. Algunas de estas herramientas no solo tienen funcionalidad para detectar problemas específicos de seguridad, sino que también ofrecen características adicionales para la interpretación abstracta, el análisis de flujo de datos y el análisis lógico.

¿Eres un profesional de seguridad interesado en herramientas de seguridad? Consulta nuestra guía sobre pruebas de penetración, que incluye 5 herramientas de pruebas de penetración a considerar en 2019.