SAST, DAST, SCA va MAST: farqi nimada va qaysini tanlash kerak

SAST manba kodini ishga tushirmasdan tekshiradi, DAST ishlab turgan ilovaga tashqaridan hujum qiladi, SCA open-source bog‘liqliklardagi zaifliklarni qidiradi, MAST esa mobil ilovalarni sinovdan o‘tkazadi. Bular raqobatchilar emas, yagona himoyaning qatlamlari: SCA va SAST’dan boshlash, so‘ng DAST’ni qo‘shish, MAST va binar tahlilni esa zarurat bo‘lganda ulash maqsadga muvofiq.

SAST — kodning statik tahlili

Static Application Security Testing manba (yoki binar) kodni ilovani ishga tushirmasdan tahlil qiladi. OWASP DevSecOps Guideline qo‘llanmasida SAST statik kod tahlilining bir turi, «oq quti» tamoyilidagi code review’ning bir qismi sifatida tavsiflangan. Skaner dastur modelini quradi, ma’lumotlar oqimini kirish nuqtalaridan xavfli funksiyalargacha kuzatadi va SQL-inyeksiyalar, XSS, path traversal, xavfsiz bo‘lmagan kriptografiya, kodga qattiq yozilgan parollar va kalitlarni topadi.

• Afzalliklari: eng dastlabki bosqichlarda — IDE’da yoki pull request paytida ishlaydi; kodning aniq qatorini ko‘rsatadi, shuning uchun dasturchiga nuqsonni tuzatish osonroq.
• Kamchiliklari: muhit konfiguratsiyasi muammolarini ko‘rmaydi; qoidalar sozlanmasa, yolg‘on ishga tushishlar berishi mumkin; sifat aniq bir til va framework’ning qo‘llab-quvvatlanishiga kuchli bog‘liq.

SAST-analizatorlarni sotib olishdan oldin qanday baholash haqida biz SAST-analizatorni qanday tanlash materialida yozgan edik.

DAST — dinamik sinov

Dynamic Application Security Testing — bu «qora quti»: vosita ishlab turgan ilovaga tashqaridan, xuddi tajovuzkor kabi hujum qiladi, so‘rovlar yuboradi, zararli ma’lumotlarni joylashtiradi va javoblarni tahlil qiladi. OWASP ta’rifiga ko‘ra, DAST kiruvchi va chiquvchi ma’lumotlarni, autentifikatsiyani hamda server konfiguratsiyasi xatolarini tekshirish uchun ayniqsa foydali, bunda manba kodi va framework haqida bilim talab qilinmaydi.

• Afzalliklari: real ekspluatatsiya qilinadigan zaifliklarni, konfiguratsiya, autentifikatsiya va sessiyalar muammolarini topadi; dasturlash tiliga bog‘liq emas; sozlangandan so‘ng minimal ishtirok talab qiladi — masalan, jadval bo‘yicha tungi ishga tushirishlar.
• Kamchiliklari: joylashtirilgan stend kerak; SAST’ga qaraganda kechroq ishga tushadi; zaiflik yuzaga kelgan kod qatorini ko‘rsatmaydi.

O‘nlab va yuzlab saytlarni muntazam avtomatik skanerlash uchun Burp Suite DAST kabi platformalar, pentesterlarning qo‘lda sinovi uchun esa Burp Suite Professional ishlatiladi.

SCA — DT tarkibini tahlil qilish

Software Composition Analysis zamonaviy ilovalar kodining katta qismini tashkil etadigan uchinchi tomon open-source kutubxonalarini tekshiradi. SCA ma’lum zaifliklarga (CVE) ega komponentlarni, zararli paketlarni, muammoli litsenziyalarni topadi va SBOM — barcha komponentlar ro‘yxatini shakllantiradi. Zaif va eskirgan komponentlardan foydalanish OWASP Top 10 2021’ga A06 alohida toifasi sifatida kiritilgan.

Log4Shell xavf ko‘lamini ko‘rsatdi: Apache Log4j kutubxonasidagi CVE-2021-44228 zaifligi autentifikatsiyadan o‘tmagan tajovuzkorga maxsus shakllantirilgan so‘rov orqali masofadan kodni bajarish imkonini bergan. CISA 2021-yil dekabrida faol va ommaviy ekspluatatsiyani tasvirlagan, Log4j esa turli vendorlarning mahsulotlariga o‘rnatilganligi sababli jabr ko‘rganlar ko‘p bo‘lgan. SCA sinfidagi yechimlar, masalan Sonatype Lifecycle va Repository Firewall, zaif komponent qayerda ishlatilayotganini tez bilib olish va zararli paketni yig‘ishga tushishidan oldin bloklash imkonini beradi. Komponentlar ro‘yxati haqida batafsil — blogimizdagi SBOM haqidagi maqolada.

MAST — mobil ilovalar xavfsizligi

Mobile Application Security Testing Android va iOS uchun statik va dinamik tahlilni birlashtiradi. Mo‘ljal sifatida OWASP loyihalari xizmat qiladi: talablar guruhlari (ma’lumotlarni saqlash, kriptografiya, autentifikatsiya, tarmoq o‘zaro aloqasi, platforma bilan o‘zaro aloqa, kod sifati, revers-injiniringga chidamlilik, maxfiylik) bilan MASVS verifikatsiya standarti hamda MASTG sinov qo‘llanmasi. Odatiy topilmalar: qurilmada ma’lumotlarning xavfsiz bo‘lmagan saqlanishi, trafikning zaif himoyasi, jurnallar orqali sizib chiqish, ortiqcha ruxsatlar.

Binar tahlil

Manba kodi mavjud bo‘lmagan ilovalarni tekshirish imkonini beradi: legacy-tizimlar, pudratchilar yechimlari, uchinchi tomon yig‘malari. Dasturiy ta’minotni qabul qilishda va e’lon qilinmagan imkoniyatlarni (NDV) qidirishda, yetkazib beruvchiga «og‘zaki» ishonib bo‘lmaydigan hollarda ayniqsa dolzarb.

Vositalar sinflarini taqqoslash

• SAST — nimani tekshiradi: o‘z kodingizni; qachon: yozish paytida va pull request’da; kod kerakmi: ha.
• SCA — nimani tekshiradi: open-source bog‘liqliklarni; qachon: yig‘ishda va doimiy ravishda; kod kerakmi: manifestlar yoki yig‘ma.
• DAST — nimani tekshiradi: ishlab turgan veb-ilova va API’ni; qachon: test stendida va prod’da; kod kerakmi: yo‘q.
• MAST — nimani tekshiradi: mobil ilovalarni; qachon: nashr etishdan oldin; kod kerakmi: istalgan.
• Binary — nimani tekshiradi: bajariladigan fayllarni; qachon: DT’ni qabul qilishda; kod kerakmi: yo‘q.

IAST (ilova ichida agent bilan interaktiv tahlil) kamroq uchraydi va odatda sanab o‘tilgan sinflarni almashtiruvchi emas, ularga qo‘shimcha sifatida ko‘riladi.

Birinchi navbatda nimani tanlash kerak?

«Bittasini» degan javob deyarli har doim noto‘g‘ri: vositalar bir-birini to‘ldiradi. Aksar kompaniyalar uchun amaliy tartib:

1. SCA — tez samara, yolg‘on ishga tushishlar kam, eng ommaviy xavfni yopadi.
2. SAST — pull request’ga integratsiya qilinadi va dasturchilarni xavfsiz yozishga o‘rgatadi.
3. DAST — veb-ilovalarning tashqi perimetrini muntazam skanerlash.
4. MAST va binar tahlil — mobil ilovalar yoki pudratchilardan DT bo‘lsa.

DerScanner kabi to‘liq sikl platformalari SAST, DAST, SCA, MAST va binar tahlilni yagona interfeysda birlashtiradi — bu joriy etish va hisobotni soddalashtiradi. «Ko‘r-ko‘rona» sotib olmaslik uchun o‘z repozitoriylaringizda qiyosiy test o‘tkazing: buni bir oyda qanday tashkil etish 30 kunda SAST va SCA pilot maqolasida tavsiflangan.

Tekshiruvlarni jarayonga qanday integratsiya qilish

Har bir tekshiruvga konveyerda o‘z o‘rni bor. SAST va sirlarni qidirish pull request’da, SCA — yig‘ishda, DAST — test stendida va prod’da muntazam ishga tushiriladi. Qaysi topilmalar relizni bloklashi, qaysilari vazifalarga aylanishini oldindan kelishib olish muhim. Xabardor qilishdan boshlang va qoidalarni asta-sekin qattiqlashtiring, aks holda jamoa minglab topilmalarda cho‘kadi va tekshiruvlarni aylanib o‘ta boshlaydi.

Muayyan mahsulotni tanlash mezonlari

Vositalar sinfi aniqlangach, mahsulot tanlash boshlanadi. Universal «eng yaxshi» skaner mavjud emas: natija sizning stek va jarayonlaringizga bog‘liq. Taqqoslashda nimalarga e’tibor berish kerak:

• Tillar va framework’larni qo‘llab-quvvatlash. Taqdimotda e’lon qilingan tillar ro‘yxati tahlil chuqurligi haqida hech narsa demaydi. O‘z kodingizda tekshiring: skaner loyihalaringizdagi ma’lum nuqsonlarni topadimi va framework’laringizni qanday qayta ishlaydi.
• Yolg‘on ishga tushishlar ulushi. Dasturchilar «shovqin»ni tahlil qilishga vaqt sarflasa, vositaga ishonishni to‘xtatadi. Topilmalar sonini emas, tasdiqlanganlar ulushini baholang.
• Integratsiyalar. Skaner sizning CI/CD, vazifalar trekeri va IDE’ingizda ishlashi kerak. Dasturchiga odatiy vositada uzatib bo‘lmaydigan topilma hisobotda qolib ketadi.
• Joylashtirish modeli. Banklar va davlat sektori uchun manba kodi tashkilot perimetridan chiqmasligi ko‘pincha muhim. Shuning uchun mintaqadagi ko‘plab kompaniyalar o‘z infratuzilmasida o‘rnatiladigan (on-premise) yechimlarni ko‘rib chiqadi.
• Hisobot. Xavfsizlik rahbariyatiga faqat nuqsonlar ro‘yxati emas, ilovalar, trendlar va tuzatish muddatlari bo‘yicha yig‘ma ma’lumotlar kerak.

Tanlashdagi odatiy xatolar

• «Hamma narsa uchun» bitta vosita. SAST ham bog‘liqliklarni, ham muhit konfiguratsiyasini yopadi, degan kutish ko‘r nuqtalarga olib keladi.
• Barcha qoidalarni birdaniga yoqish. Eski kodda minglab topilmalar jamoani falaj qiladi. Zaifliklarning muhim sinflaridan va pull request’dagi yangi o‘zgarishlardan boshlang, to‘planib qolgan qarzni esa asta-sekin tahlil qiling.
• O‘z ma’lumotlarida sinovsiz sotib olish. Nomzodlarni bir xil repozitoriylarda solishtiring, aks holda mahsulotlarni emas, taqdimotlarni solishtirasiz.
• Jarayonni e’tiborsiz qoldirish. Tuzatish bo‘yicha tayinlangan egalari va kelishilgan quality gates bo‘lmagan vosita hisobotlar generatoriga aylanadi.
• Unutilgan mobil va uchinchi tomon kodi. Mobil mijozlar va pudratchilar DT’si ko‘pincha tekshiruvlardan tashqarida qoladi, holbuki insidentlar aynan ular orqali keladi.

Jamoada kim nimadan foydalanadi

Turli sinfdagi vositalar turli rollarga xizmat qiladi. Dasturchi SAST va SCA bilan ishlaydi: natijalar pull request va IDE’ga tushadi. DevOps-muhandis tekshiruvlarni ishga tushirish va konveyerdagi siyosatlar uchun javob beradi. Penetratsion sinov mutaxassisi muhim ilovalarni chuqur tekshirish uchun DAST va Burp Suite kabi qo‘lda ishlatiladigan vositalardan foydalanadi. AX rahbari barcha sinflar bo‘yicha yig‘ma hisobotlar va metrikalarni ko‘radi. Agar bu rollar oldindan ajratilmasa, tekshiruvlar yo ishga tushmaydi, yo natijalar ularni tuzata oladiganlarga yetib bormaydi.

Ko‘p beriladigan savollar

Manbalar

• OWASP DevSecOps Guideline: Static Application Security Testing
• OWASP DevSecOps Guideline: Dynamic Application Security Testing
• OWASP Mobile Application Security (MASVS va MASTG)
• CISA: Apache Log4j Vulnerability Guidance