SAST, DAST, SCA және MAST: айырмашылығы неде және нені таңдау керек

SAST бастапқы кодты іске қоспай тексереді, DAST жұмыс істеп тұрған қосымшаға сырттан шабуыл жасайды, SCA open-source тәуелділіктердегі осалдықтарды іздейді, ал MAST мобильді қосымшаларды тестілейді. Бұлар бәсекелес емес, бір қорғаныстың әртүрлі қабаттары: SCA мен SAST-тан бастап, кейін DAST қосқан дұрыс, ал MAST пен бинарлы талдауды қажет болғанда ғана қосады.

SAST — кодтың статикалық талдауы

Static Application Security Testing қосымшаны іске қоспай, бастапқы (немесе бинарлы) кодты талдайды. OWASP DevSecOps Guideline нұсқаулығында SAST кодты статикалық талдаудың бір түрі, яғни «ақ жәшік» принципімен жүргізілетін code review-дің бөлігі ретінде сипатталған. Сканер бағдарлама моделін құрады, деректер ағынын кіру нүктелерінен қауіпті функцияларға дейін бақылайды және SQL-инъекцияларды, XSS, path traversal, қауіпсіз емес криптографияны, кодқа тікелей жазылған құпиясөздер мен кілттерді табады.

• Артықшылықтары: ең ерте кезеңдерде, яғни IDE-де немесе pull request кезінде жұмыс істейді; код жолын нақты көрсетеді, сондықтан әзірлеушіге ақауды түзету оңайырақ.
• Кемшіліктері: орта конфигурациясындағы мәселелерді көрмейді; ережелер реттелмесе жалған іске қосылулар беруі мүмкін; сапасы нақты тілге және фреймворкке қолдау көрсетуіне қатты тәуелді.

SAST-талдағыштарды сатып алудан бұрын қалай бағалау керектігі туралы SAST-талдағышты қалай таңдау керек материалында жаздық.

DAST — динамикалық тестілеу

Dynamic Application Security Testing — «қара жәшік» тәсілі: құрал жұмыс істеп тұрған қосымшаға сырттан, зиянкес сияқты шабуыл жасайды, сұраулар жібереді, зиянды деректер енгізеді және жауаптарды талдайды. OWASP сипаттамасы бойынша, DAST кіріс және шығыс деректерін, аутентификацияны және сервер конфигурациясының қателерін тексеру үшін ерекше пайдалы, ал бастапқы код пен фреймворкті білу қажет емес.

• Артықшылықтары: шынымен пайдалануға болатын осалдықтарды, конфигурация, аутентификация және сессия мәселелерін табады; әзірлеу тіліне тәуелді емес; бапталғаннан кейін қатысуды аз қажет етеді, мысалы, кесте бойынша түнгі іске қосулар.
• Кемшіліктері: іске қосылған стенд қажет; SAST-қа қарағанда кешірек іске қосылады; осалдықты тудырған код жолын көрсетпейді.

Ондаған және жүздеген сайтты үнемі автоматты сканерлеу үшін Burp Suite DAST сияқты платформаларды, пентестерлердің қолмен тестілеуі үшін Burp Suite Professional құралын қолданады.

SCA — бағдарламалық жасақтама құрамын талдау

Software Composition Analysis заманауи қосымшалар кодының едәуір бөлігін құрайтын үшінші тарап open-source кітапханаларын тексереді. SCA белгілі осалдықтары (CVE) бар компоненттерді, зиянды пакеттерді, проблемалы лицензияларды табады және барлық компоненттердің тізбесі болып табылатын SBOM жасайды. Осал және ескірген компоненттерді пайдалану OWASP Top 10 2021 тізімінде жеке A06 санатына кірген.

Log4Shell тәуекелдің ауқымын көрсетті: Apache Log4j кітапханасындағы CVE-2021-44228 осалдығы аутентификацияланбаған зиянкеске арнайы құрастырылған сұрау арқылы кодты қашықтан орындауға мүмкіндік берді. CISA 2021 жылғы желтоқсанда белсенді және жаппай пайдаланылуын сипаттады, ал Log4j әртүрлі вендорлардың өнімдеріне енгендіктен, зардап шеккендер көп болды. Мысалы, Sonatype Lifecycle және Repository Firewall сияқты SCA класындағы шешімдер осал компонент қайда қолданылатынын жылдам анықтауға және зиянды пакетті жинаққа түспей тұрып бұғаттауға мүмкіндік береді. Компоненттер тізбесі туралы толығырақ — біздің блогтағы SBOM туралы мақалада.

MAST — мобильді қосымшалардың қауіпсіздігі

Mobile Application Security Testing Android және iOS үшін статикалық және динамикалық талдауды біріктіреді. Бағдар ретінде OWASP жобалары қызмет етеді: талап топтары бар MASVS верификация стандарты (деректерді сақтау, криптография, аутентификация, желілік өзара әрекеттесу, платформамен өзара әрекеттесу, код сапасы, реверс-инжинирингке төзімділік, құпиялылық) және MASTG тестілеу нұсқаулығы. Типтік олжалар: құрылғыда деректердің қауіпсіз сақталмауы, трафиктің әлсіз қорғалуы, лог арқылы ақпараттың ағуы, шамадан тыс рұқсаттар.

Бинарлы талдау

Бастапқы коды жоқ қосымшаларды тексеруге мүмкіндік береді: legacy-жүйелер, мердігерлердің шешімдері, үшінші тарап жинақтары. Бағдарламалық жасақтаманы қабылдау кезінде және жарияланбаған мүмкіндіктерді (ЖМ) іздегенде, жеткізушіге «сөзбен» сенуге болмайтын жағдайда әсіресе өзекті.

Құрал кластарын салыстыру

• SAST — нені тексереді: өз кодыңызды; қашан: жазу кезінде және pull request-те; код қажет пе: иә.
• SCA — нені тексереді: open-source тәуелділіктерді; қашан: жинау кезінде және үнемі; код қажет пе: манифестер немесе жинақ.
• DAST — нені тексереді: жұмыс істеп тұрған веб-қосымша мен API; қашан: тест стендінде және продакшнда; код қажет пе: жоқ.
• MAST — нені тексереді: мобильді қосымшалар; қашан: жарияланар алдында; код қажет пе: қалауынша.
• Binary — нені тексереді: орындалатын файлдар; қашан: бағдарламалық жасақтаманы қабылдағанда; код қажет пе: жоқ.

IAST (қосымша ішіндегі агент арқылы интерактивті талдау) сирегірек кездеседі және әдетте аталған кластарды алмастыратын емес, толықтыратын құрал ретінде қарастырылады.

Алдымен нені таңдау керек?

«Бір-ақ нәрсе» деген жауап дерлік әрдайым қате: құралдар бірін-бірі толықтырады. Компаниялардың көпшілігі үшін тиімді тәртіп мынадай:

1. SCA — жылдам нәтиже береді, жалған іске қосылулар аз, ең жаппай тәуекелді жабады.
2. SAST — pull request-ке енгізіледі және әзірлеушілерге қауіпсіз кодтауды үйретеді.
3. DAST — веб-қосымшалардың сыртқы периметрін үнемі сканерлейді.
4. MAST және бинарлы талдау — мобильді қосымшалар немесе мердігерлерден алынған бағдарламалық жасақтама болса.

DerScanner сияқты толық циклді платформалар SAST, DAST, SCA, MAST және бинарлы талдауды бір интерфейсте біріктіреді, бұл енгізу мен есептілікті жеңілдетеді. «Көзсіз» сатып алмау үшін өз репозиторийлеріңізде салыстырмалы тест өткізіңіз: мұны бір айда қалай ұйымдастыру керегі 30 күндік SAST және SCA пилоты мақаласында сипатталған.

Тексерулерді процеске қалай енгізу керек

Әр тексерудің конвейердегі өз орны бар. SAST пен құпияларды іздеуді pull request-те, SCA-ны жинау кезінде, DAST-ты тест стендінде және продакшнда үнемі іске қосады. Қандай олжалар релизді тоқтататынын, қайсысы тапсырмаға айналатынын алдын ала келісіп алу маңызды. Ақпараттандырудан бастап, ережелерді бірте-бірте қатайтыңыз, әйтпесе команда мыңдаған олжаның астында қалып, тексерулерді айналып өте бастайды.

Нақты өнімді таңдау критерийлері

Құрал класы анықталғаннан кейін өнімді таңдау басталады. Әмбебап «ең жақсы» сканер жоқ: нәтиже сіздің стегіңіз бен процестеріңізге байланысты. Салыстыру кезінде мыналарға назар аудару керек:

• Тілдер мен фреймворктерге қолдау. Презентациядағы мәлімделген тілдер тізімі талдау тереңдігі туралы ештеңе айтпайды. Өз кодыңызда тексеріңіз: сканер жобаларыңыздағы белгілі ақауларды табады ма және сіздің фреймворктерді қалай өңдейді.
• Жалған іске қосылулар үлесі. Әзірлеушілер «шуды» талдауға уақыт жұмсаса, олар құралға сенуін тоқтатады. Олжалардың санын емес, расталғандарының үлесін бағалаңыз.
• Интеграциялар. Сканер сіздің CI/CD-де, тапсырмалар трекерінде және IDE-де жұмыс істеуі тиіс. Әзірлеушіге әдеттегі құралда жеткізілмейтін олжа есепте қалып қояды.
• Орналастыру моделі. Банктер мен мемлекеттік сектор үшін бастапқы кодтың ұйым периметрінен шықпауы жиі маңызды. Сондықтан өңірдегі көптеген компаниялар өз инфрақұрылымына орнатылатын (on-premise) шешімдерді қарастырады.
• Есептілік. Қауіпсіздік басшылығына тек ақаулар тізімі емес, қосымшалар, трендтер және түзету мерзімдері бойынша жиынтық есептер қажет.

Таңдаудағы типтік қателер

• «Бәріне» бір құрал. SAST тәуелділіктерді де, орта конфигурациясын да жабады деп күту соқыр аймақтарға әкеледі.
• Барлық ережені бірден қосу. Ескі кодтағы мыңдаған олжа команданы сал қылады. Осалдықтардың маңызды кластарынан және pull request-тегі жаңа өзгерістерден бастаңыз, жинақталған борышты біртіндеп талдаңыз.
• Өз деректерінде тестілемей сатып алу. Үміткерлерді бірдей репозиторийлерде салыстырыңыз, әйтпесе өнімдерді емес, презентацияларды салыстырасыз.
• Процесті елемеу. Түзетуге жауапты иелері мен келісілген quality gates жоқ құрал есеп генераторына айналады.
• Ұмытылған мобильді және үшінші тарап коды. Мобильді клиенттер мен мердігерлердің бағдарламалық жасақтамасы жиі тексеруден тыс қалады, ал инциденттер дәл солар арқылы келеді.

Командада кім нені қолданады

Құралдардың әртүрлі кластары әртүрлі рөлдерге қызмет етеді. Әзірлеуші SAST және SCA-мен жұмыс істейді: нәтижелер pull request-ке және IDE-ге келеді. DevOps-инженер тексерулерді іске қосуға және конвейердегі саясаттарға жауап береді. Ену тестілеу маманы маңызды қосымшаларды терең тексеру үшін DAST және Burp Suite сияқты қолмен жұмыс құралдарын қолданады. АҚ басшысы барлық кластар бойынша жиынтық есептер мен метрикаларды қарайды. Бұл рөлдер алдын ала бөлінбесе, тексерулер не іске қосылмайды, не нәтижелер оларды түзете алатындарға жетпейді.

Жиі қойылатын сұрақтар

Дереккөздер

• OWASP DevSecOps Guideline: Static Application Security Testing
• OWASP DevSecOps Guideline: Dynamic Application Security Testing
• OWASP Mobile Application Security (MASVS и MASTG)
• CISA: Apache Log4j Vulnerability Guidance