交互式应用安全测试(IAST)学习笔记

最新推荐文章于 2025-11-10 10:10:58 发布

原创

最新推荐文章于 2025-11-10 10:10:58 发布 · 1.9k 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#学习 #网络 #大数据

IAST是一种结合SAST和DAST优点的新型应用安全测试方案，通过程序插桩技术在运行时检测安全漏洞。它具有低误报、高检出率、代码级详情和赋能研发等优点，但也存在语言依赖、测试覆盖度限制和性能影响等缺点。IAST是安全左移的理想实践，未来可能在逻辑漏洞检测上有更多突破。

啥叫IAST?

交互式应用程序安全测试（IAST）是 2012 年 Gartner 公司提出的一种新的应用程序安全测试方案，通过代理和在服务端部署的Agent 程序，收集、监控 Web 应用程序运行时请求数据、函数执行，并与扫描器端进行实时交互，高效、准确的识别安全漏洞，同时可准确确定漏洞所在的代码文件、行数、函数及参数。- 来源信通院研发运营安全白皮书-2020年

为啥需要它?

新技术的出现，是为了解决老技术历史遗留问题，IAST对应的老技术就是SAST和DAST
传统的应用安全测试主要包括SAST（静态应用安全测试）和DAST（动态应用安全测试）。
SAST对应用程序源代码进行白盒分析。分析是在代码的静态视图上运行的，这意味着代码在被检测时并没有运行，SAST的误报率无法得到有效控制，并且难以适用处于生产阶段的系统。
DAST对应用进行黑盒测试，无法访问代码细节。DAST产品不用关注底层的技术和平台，因此使用度更广泛，准确率也有不错的保障。但DAST的技术特性决定了其高漏报率的结果，且无法应用于应用的研发阶段。

而如今，作为入选Gartner十大信息安全技术的IAST（交互式安全测试），结合了SAST和DAST的优点，低误报率和高检出率同时得到了保证。灰盒测试的特性使IAST可以有效地应用于从开发到生产的全流程当中