什么是 IAST（交互式应用安全测试）？
交互式应用安全测试（IAST）是一种将静态应用安全测试（SAST）和动态应用安全测试（DAST）结合起来，以更有效地发现应用程序漏洞的方法。
IAST 的特点包括：
- IAST 工具通过在应用程序运行时添加传感器或监控组件来工作。这些工具观察应用程序在测试期间的行为，无论测试是自动化的还是人工进行的。这种方法使 IAST 能够实时检查代码执行、用户输入以及应用程序如何处理数据。
- IAST 不会自动扫描整个代码库；其覆盖范围由测试期间应用程序的使用广度决定。测试活动越广泛，漏洞覆盖越深入。
- IAST 通常部署在运行自动化或手动功能测试的 QA 或预发布环境中。
IAST 在网络安全中的重要性
SAST 分析源代码、字节码或二进制文件而不运行应用程序，非常有效地发现编码错误，但可能产生误报并遗漏运行时特定问题。
DAST 从外部测试应用程序的运行情况，可以揭示仅在运行时出现的问题，但缺乏对内部逻辑或代码结构的深入可见性。IAST 通过结合这些技术的优势来弥补这一差距，提供：
- 对漏洞来源和路径的更深入洞察。
- 与单独使用 SAST 或 DAST 相比，检测准确性更高。
- 通过将运行时活动与代码分析相关联来减少误报。
IAST 的工作原理
- 插桩：IAST 使用插桩技术，即在应用程序中嵌入传感器或监控代码（通常在 QA 或暂存环境中），以观察其在测试期间的行为。
- 监控：它实时观察数据流、用户输入和代码行为，因为应用程序通过测试或手动操作被执行。
- 检测：它标记诸如不安全配置、未清理的数据流或注入风险等漏洞。
- 报告：提供可操作的发现和修复指导，帮助开发人员解决检测到的问题。
示例
在功能测试期间，QA 团队与登录表单进行交互。IAST 工具检测到用户输入流入数据库查询而未进行清理，表明存在潜在的SQL 注入风险。团队收到漏洞报告和可操作的步骤以修复安全问题。