Skaner lub tester wysyła żądania, zmienia wejścia i podąża przepływami aplikacji podobnie jak zewnętrzny klient. Metoda zasadniczo nie wymaga kodu źródłowego i może sprawdzać połączone zachowanie kodu aplikacji, frameworków, konfiguracji i usług pomocniczych.
Wyniki DAST opierają się na żądaniach, odpowiedziach i obserwowalnych efektach. Może to dostarczyć praktycznych dowodów dla osiągalnych słabości walidacji wejścia, uwierzytelniania, sesji, transportu lub konfiguracji serwera. Pokrycie zależy od tego, czy test może odkryć punkty końcowe, poprawnie się uwierzytelnić, osiągnąć istotne stany i rozpoznać niebezpieczną odpowiedź.
Najważniejsze punkty
Badane dowodyŻywe punkty końcowe, protokoły, żądania, odpowiedzi, zachowanie sesji, błędy i inne efekty widoczne z pozycji testera.
Typowe wynikiZachowanie injection, cross-site scripting, ujawnione informacje, słabe ustawienia transportu, problemy sesji oraz część awarii uwierzytelniania lub kontroli dostępu.
Dobra eksploatacjaUzyskaj autoryzację, zdefiniuj zakres, użyj odpowiednich kont testowych i danych, chroń dostępność, zachowuj powtarzalne dowody i ponownie testuj potwierdzone poprawki.
Istotne ograniczenieZautomatyzowany skan eksploruje tylko powierzchnię ataku i przepływy pracy, które może osiągnąć. Złożoność po stronie klienta, niepołączone API, wieloetapowa logika biznesowa i stany specyficzne dla ról mogą tworzyć znaczące ślepe punkty.