静态应用安全测试 SAST 与动态应用安全测试 DAST 有何区别？
静态应用安全测试 SAST 与动态应用安全测试 DAST 有何区别？
随着安全事件数量的不断增加，各组织对应用安全的重视程度日益提高。为了识别应用中的漏洞并提前降低风险，静态应用安全测试（SAST）和动态应用安全测试（DAST）成为两种主要的应用安全测试技术。虽然这两种测试方法都能识别应用中的安全漏洞，但它们在测试方式、应用场景等方面存在显著差异。本文将详细介绍SAST和DAST的技术特点、区别和联系，帮助读者更好地理解这两种重要的应用安全测试技术。
1. 概述
由于安全事件的数量不断增加，各组织日益重视应用安全。他们希望识别应用中的漏洞，并提早降低风险。当前有两种不同类型的应用安全测试技术，即静态应用安全测试（SAST） 和动态应用安全测试 （DAST）。虽然这两种测试方法都能识别应用中的安全漏洞，但它们却又截然不同。在实际应用中，一般会采用两种方法相结合的方式来最大程度地发现和修复应用程序中的漏洞。
2. SAST技术简介
SAST（静态应用程序安全测试）是一种通过对源代码进行分析来发现应用程序中存在的安全漏洞的技术。
SAST工具会检查应用程序的源代码并尝试找出其中的安全漏洞，例如缓冲区溢出、代码注入、身份验证和访问控制问题等。
大家常用的代码扫描工具Coverity、Fortify、CodeQL等都采用了SAST技术。
3. DAST技术简介
DAST（动态应用程序安全测试）是一种在运行应用程序时通过模拟攻击来发现漏洞的技术。
DAST工具会模拟攻击，向应用程序发送请求并检查响应，以确定是否存在漏洞。这种方法可以找到一些SAST无法发现的漏洞，例如依赖性注入和会话固定等。
AWVS、Nessus、Burp suite等工具都是采用了DAST技术。
4. SAST vs DAST
4.1 区别
特征 | SAST | DAST |
|---|---|---|
代码可见性 | 有源代码，属于白盒测试 | 无源代码，属于黑盒测试 |
测试阶段 | 在软件开发生命周期SDLC的左侧，修复漏洞成本低 | 在软件开发生命周期SDLC的右侧，修复漏洞成本高 |
测试方式 | 不运行，无法发现运行时问题 | 可以发现运行时问题 |
适用范围 | 一般适用于所有软件类型 | 一般仅适用于Web应用、服务 |
4.2 联系
SAST和DAST技术一般组合使用，在深入测试过程中两种技术均不可缺少。
5. 总结
总的来说，SAST和DAST都是很重要的应用程序安全测试技术，它们各自有其优缺点。在实际应用中，一般会采用两种方法相结合的方式来最大程度地发现和修复应用程序中的漏洞。