Come risultato del fiorente mercato delle applicazioni cloud, le aziende sono sempre più — e razionalmente — preoccupate per la sicurezza delle loro applicazioni e dei dati ad esse associati.

Ci sono centinaia, se non migliaia, di rischi per la sicurezza di tutti i tipi di applicazioni. Ci sono anche centinaia di strumenti disponibili oggi progettati per affrontare questi rischi e risolvere i problemi prima che si verifichi un attacco. Due delle soluzioni più comunemente utilizzate sono il software di test di sicurezza delle applicazioni statiche (SAST) e il software di test di sicurezza delle applicazioni dinamiche (DAST).

SAST vs. DAST: Spiegazione del test di sicurezza delle applicazioni

SAST e DAST sono due classi di strumenti di test di sicurezza che adottano un approccio unico per risolvere i problemi legati alla sicurezza delle applicazioni. Gli strumenti SAST analizzano i componenti sottostanti di un'applicazione per identificare difetti e problemi nel codice stesso. Gli strumenti DAST testano le applicazioni funzionanti per le vulnerabilità rivolte verso l'esterno nell'interfaccia dell'applicazione. Entrambi gli strumenti sono assolutamente necessari, ma analizzano la sicurezza delle applicazioni in modi molto diversi.

Che cos'è il test di sicurezza delle applicazioni statiche?

Gli strumenti di test di sicurezza delle applicazioni statiche (SAST) sono soluzioni di test a cappello bianco, il che significa che richiedono l'accesso al codice sorgente per funzionare. Gli strumenti SAST aiutano gli sviluppatori di software e i professionisti della sicurezza ad analizzare il codice sorgente sottostante di un'applicazione per difetti e vulnerabilità.

I test a cappello bianco, o a scatola bianca, richiedono agli utenti di possedere informazioni relative al codice e all'architettura di sicurezza per esaminare il codice non compilato. Gli strumenti SAST sono noti per segnalare codice sicuro (falsi positivi) perché non eseguono effettivamente il codice. Tuttavia, questi strumenti sono altamente efficaci nell'identificare problemi nelle prime fasi del ciclo di vita dello sviluppo software come errori numerici, rischi di concorrenza o attraversamenti di directory, tra molti altri.

Poiché gli strumenti SAST sono in grado di scoprire problemi nel codice sorgente, sono comunemente utilizzati da team agili e DevOps. Questi problemi sono tipicamente facili da correggere, ma non esaminano l'applicazione da un punto di vista funzionale. Quei problemi richiedono strumenti di test aggiuntivi che consentano agli sviluppatori di visualizzare l'applicazione dalla prospettiva di un hacker esterno.

Che cos'è il test di sicurezza delle applicazioni dinamiche (DAST)?

Gli strumenti di test di sicurezza delle applicazioni dinamiche (DAST) sono utilizzati per il test a scatola nera. Ciò significa che i test vengono eseguiti dall'esterno di un'applicazione funzionante, piuttosto che sul suo codice sorgente.

Gli strumenti DAST sono in grado di scoprire vulnerabilità sfruttabili tra cui l'iniezione SQL, lo scripting tra siti e problemi di autenticazione, tra gli altri. Questo metodo offre ai professionisti della sicurezza e agli sviluppatori una prospettiva di terze parti delle minacce, visualizzando un'applicazione molto come farebbe un hacker esterno all'organizzazione.

Gli strumenti DAST imitano la funzionalità del mondo reale, consentendo agli utenti di vedere come un'applicazione risponde a determinate minacce o azioni comuni. In quanto tali, l'applicazione deve essere in uno stato funzionale per essere testata. Gli strumenti DAST sono solitamente più efficaci nell'identificare le minacce durante la fine del ciclo di sviluppo. I problemi in fase avanzata possono comportare la correzione di più componenti di un'applicazione e possono essere critici per garantire la funzionalità.

Gli strumenti DAST consentono agli utenti di simulare attacchi e minacce realistici per scoprire vulnerabilità non trovate nel codice sorgente di un'applicazione. Sono strumenti flessibili e personalizzabili utilizzati per una valutazione completa delle applicazioni di tutte le dimensioni.

Test di sicurezza delle applicazioni interattive

Gli strumenti SAST e DAST sono tipicamente utilizzati per completarsi a vicenda, affrontando problemi di sicurezza legati sia alle minacce interne che esterne. L'uso di questi strumenti insieme è comunemente noto come test di sicurezza delle applicazioni interattive (IAST).

L'IAST è un approccio ibrido che combina queste tecniche per identificare come la funzionalità dell'applicazione e la sua architettura sottostante possono influenzare i risultati del test dinamico. Gli strumenti IAST, o la combinazione di strumenti SAST e DAST, possono identificare difetti nel codice che non appaiono come vulnerabilità da una scansione iniziale del codice, ma presentano problemi quando l'applicazione è in esecuzione.

Gli utenti spesso simulano ambienti specifici per eseguire test condizionali e riportare come diversi flussi di dati e scenari influenzano le prestazioni e la sicurezza dell'applicazione. L'uso degli strumenti in tandem è noto per ridurre il tempo di test e la frequenza con cui si verificano falsi positivi, rendendolo un metodo popolare per i team agili e DevOps.

Altri strumenti di test di sicurezza delle applicazioni

Scanner di vulnerabilità

Gli scanner di vulnerabilità sono strettamente correlati agli strumenti DAST, e alcuni li considerano la stessa cosa. In termini di funzionalità, tuttavia, il DAST è semplicemente un componente della scansione delle vulnerabilità. Gli scanner di vulnerabilità offrono una vasta gamma di capacità di test per eseguire operazioni DAST, ma anche per analizzare una serie di fattori di rischio aggiuntivi relativi alla sicurezza su tutti i tipi di applicazioni, reti e siti web.

Strumenti di test di penetrazione

Mentre alcuni prodotti DAST offrono il test di penetrazione come funzionalità, la penetrazione è un tipo di test molto specifico, solo uno dei molti test di sicurezza che richiedono un'applicazione funzionante. I test di penetrazione identificano le vulnerabilità al punto di accesso o valutano firewall, porte e server.

Strumenti RASP

RASP sta per protezione automatica delle applicazioni in tempo reale. RASP è diverso da SAST e DAST in quanto lo strumento vive e opera effettivamente all'interno di un'applicazione a livello di sistema operativo. Gli strumenti RASP monitorano la funzionalità delle applicazioni mentre operano per rilevare incidenti e avvisare i team di sicurezza di attacchi man mano che si verificano.

Strumenti di analisi statica

Gli strumenti di analisi del codice statico sono molto simili ai prodotti SAST in quanto analizzano il codice sorgente di un'applicazione. Alcuni di questi strumenti non solo hanno funzionalità per rilevare problemi specifici di sicurezza, ma offrono anche funzionalità aggiuntive per l'interpretazione astratta, l'analisi del flusso di dati e l'analisi logica.

Sei un professionista della sicurezza interessato agli strumenti di sicurezza? Dai un'occhiata alla nostra guida al test di penetrazione, che include 5 strumenti di pen-testing da considerare nel 2019.