動態應用程式安全測試（DAST）：強化應用程式安全的關鍵
(Dynamic Application Security Testing, DAST)

動態應用程式安全測試（DAST）是一種針對應用程式運行時的安全測試方法。透過模擬真實攻擊情境， DAST 測試工具會向應用程式送出不同的請求和攻擊，然後評估其回應，找出潛在的安全漏洞。這種測 試方式不需要用到程式碼，而是從應用程式外部進行測試。DAST 能夠發現常見的安全漏洞，如跨站腳 本（XSS）、SQL Injection、不安全的訪問控制等。這種測試方式提供了更接近實際攻擊情況的測試環 境，有助於偵測應用程式運行時可能存在的風險。然而，DAST 也有其限制，例如可能出現偽陽性結果 或無法識別不具爆發性的漏洞。總而言之，DAST 是確保應用程式安全性的重要工具之一，能夠補充其 他安全測試方法，提高整體的應用程式安全性。

DAST的優勢

動態應用程式安全測試（DAST）具有多項優勢，使其成為確保應用程式安全性的重要方法之一：

• 模擬真實攻擊情境
• DAST 模擬真實的攻擊場景，從應用程式外部進行測試，檢測應用程式運行時的漏洞， 更貼近攻擊者的角度，發現實際可被利用的安全問題。
• 應用程式運行時測試
• DAST 在應用程式運行時執行測試，能夠捕捉到動態產生的漏洞和弱點，這些問題可能 因應用程式的特定配置或使用情況而有所不同。
• 發現常見的安全漏洞
• DAST 能夠發現常見的安全漏洞，如跨站腳本（XSS）、SQL Injection、安全配置問題等， 有助於識別並解決這些廣泛存在的問題。
• 不需要使用原始程式碼
• DAST 不需要使用原始程式碼，從應用程式外部進行測試，因此能夠在黑盒測試中檢測到漏洞， 即使開發人員未公開程式碼也能夠進行測試。
• 測試範圍廣泛
• DAST 能夠測試整個應用程式，包括前端、後端、API、第三方庫等各個方面，提供全面的安全測試覆蓋。

儘管 DAST 具有許多優點，但也存在某些限制，例如可能產生偽陽性結果、無法識別不具爆發性的漏洞等。 因此，組織在採用 DAST 時應考慮這些限制，並綜合使用其他安全測試方法以提高整體安全性。

DAST如何運作

• 動態應用程式安全測試（DAST）運作方式是通過模擬真實攻擊情境對應用程式進行測試。DAST 工具不需要使用原始程式碼，從應用程式外部進行測試，測試過程中對應用程式發出各種請求， 並分析其回應，從而揭示應用程式運行時可能存在的安全漏洞。
• 首先，DAST 工具會探測應用程式的各個端點、API、輸入欄位等，然後嘗試各種攻擊， 如輸入異常數據、針對特定漏洞進行攻擊，以尋找可能的安全問題。通過模擬這些攻擊， DAST 工具能夠發現應用程式運行時的真實漏洞和弱點。
• DAST 測試方法具有動態性，能夠捕捉到動態產生的安全問題，例如由於特定使用情況或配置 所導致的漏洞。測試結果通常包含詳細的報告，描述潛在漏洞的性質、位置和嚴重程度， 以及可能的修復建議。
• 然而，DAST 也有一些限制，如可能產生偽陽性結果、無法識別不具爆發性的漏洞等。因此， 雖然 DAST 是一種強大的安全測試方法，但組織在使用時應該考慮到其限制，並綜合運用其他 安全測試方法以提高整體應用程式的安全性。