Dynamic Application Security Testing
稼働中のアプリケーションに対して外部から攻撃シミュレーションを行い、セキュリティ脆弱性を検出するテスト手法
ブラックボックステストとも呼ばれ、ソースコードを参照せず実行時の挙動を分析する
- DevSecOpsの継続的セキュリティテストを担い、認証、セッション管理、入力検証などランタイムの脆弱性を検出する
- 代表ツールはOWASP ZAP / Burp Suite。検出結果を SARIF 形式で出力するツールも多い
DAST
-
Aikido Security/Platform#Security "Unified Security Platform" を標榜する商用 SaaS（カテゴリは ASPM / Application Security Posture Management）。10 種類超のセキュリティスキャンを単一 UI に集約する スキャン対象は SAST / SCA / DAST / シークレット / IaC / コンテナ / CSPM など。Terraform / CloudFormation / Kubernetes マニフェストの設定ミス検出にも対応 AutoFix による修正 PR の自動生成や、Aikido Intel による依存パッケージのマルウェア検出まで検出後の対応も持つ https://www.aikido.dev/
-
DevSecOps#Security #Continuous Integration #Continuous Delivery DevOpsにセキュリティを統合したアプローチ ソフトウェア開発ライフサイクル（SDLC）の全段階にセキュリティを組み込む シフトレフト: 開発初期段階からセキュリティを考慮し、CI/CDパイプラインにSAST / DAST などのセキュリティテストを自動化して組み込む 開発・セキュリティ・運用チームの協働を前提とする https://www.devsecops.org/