Skener či tester posílá požadavky, mění vstupy a následuje toky aplikace podobně jako externí klient. Metoda obecně nevyžaduje zdrojový kód a dokáže procvičit kombinované chování aplikačního kódu, frameworků, konfigurace a podpůrných služeb.
Nálezy DAST jsou založeny na požadavcích, odpovědích a pozorovatelných účincích. To může poskytnout praktické důkazy dosažitelných slabostí validace vstupu, autentizace, relací, transportu či konfigurace serveru. Pokrytí závisí na tom, zda test dokáže objevit koncová zařízení, správně se autentizovat, dosáhnout relevantních stavů a rozpoznat nebezpečnou odpověď.
Klíčové body
Zkoumané důkazyŽivé koncová zařízení, protokoly, požadavky, odpovědi, chování relací, chyby a další účinky viditelné z pozice testera.
Typické nálezyChování injektáží, cross-site scripting, exponované informace, slabá nastavení transportu, problémy relací a některá selhání autentizace či řízení přístupu.
Správný provozZískejte autorizaci, definujte rozsah, používejte vhodné testovací účty a data, chraňte dostupnost, uchovávejte reprodukovatelné důkazy a potvrzené opravy přetestujte.
Důležité omezeníAutomatizovaný sken prozkoumává pouze útočnou plochu a workflow, kterých dokáže dosáhnout. Složitost na straně klienta, nepropojená API, vícekroková obchodní logika a stavy specifické pro role mohou vytvářet podstatná slepá místa.