SAST vs. DAST

SAST und DAST sind zwei Arten von Sicherheitstests für Anwendungen, mit denen Sicherheitslücken aufgedeckt werden können. Bei der Softwareentwicklung ist die Sicherheit der Anwendungen von größter Bedeutung. Hier kommen Tools wie statische Anwendungssicherheitstests (SAST) und dynamische Anwendungssicherheitstests (DAST) ins Spiel, die jeweils einen bestimmten Zweck erfüllen, um Sicherheitslücken zu identifizieren, die die Anwendungssicherheit gefährden könnten.

Die Synergie zwischen SAST und DAST stattet Entwicklungsteams mit einer umfassenden Sicherheitsteststrategie aus. Während SAST die frühzeitige Erkennung von Sicherheitslücken im Code ermöglicht, bietet DAST eine praktische Bewertung, wie sich eine Anwendung bei einem Angriff verhält, sobald sie in Betrieb ist.

Was ist SAST?

SAST taucht tief in den Quellcode ein, ohne ihn auszuführen, und bietet einen White-Box-Testansatz. Es ist so, als würde ein(e) Experte bzw. Expertin deinen Code prüfen und Bereiche aufspüren, die für Sicherheitslücken wie SQL-Injections oder Pufferüberläufe anfällig sind. Durch die Integration von SAST zu einem frühen Zeitpunkt im Entwicklungszyklus, idealerweise direkt nach dem Commit des Codes, erhalten die Entwickler(innen) sofortiges Feedback zu potenziellen Sicherheitsproblemen und können diese schnell beheben.

Diese proaktive Einstellung zur Sicherheit stellt sicher, dass Sicherheitslücken behoben werden, lange bevor der Code bereitgestellt wird. Das spart Zeit und Ressourcen und fördert gleichzeitig eine Kultur des Sicherheitsbewusstseins unter den Entwickler(inne)n.

Was ist DAST?

DAST hingegen nimmt eine Außenseiterperspektive ein und führt Black-Box-Tests an laufenden Webanwendungen durch, um Sicherheitslücken aufzudecken, die ein(e) Angreifer(in) ausnutzen könnte. Es simuliert Cyberangriffe auf die Anwendung und sucht nach Problemen wie Cross-Site-Scripting oder Schwachstellen durch fehlerhafte Authentifizierung.

DAST bietet einen Blick auf die Anwendung aus der Sicht von Hacker(innen), zeigt Sicherheitsschwächen in der bereitgestellten Umgebung auf und gibt Aufschluss darüber, wie die Abwehrmaßnahmen gegen reale Angriffe verstärkt werden können.

Der kombinierte Einsatz beider Tools sorgt für eine robuste Sicherheitslage und deckt verschiedene Arten von Sicherheitslücken in verschiedenen Phasen des Entwicklungslebenszyklus auf. Für Teams, die sichere Software entwickeln wollen, bietet das frühzeitige Eingreifen von SAST und das Testen unter realen Bedingungen von DAST einen ganzheitlichen Ansatz für die Anwendungssicherheit.

SAST ist eine wichtige Methode, um Sicherheitslücken frühzeitig zu erkennen, während der Code noch entwickelt wird und lange bevor er bereitgestellt wird. Wenn Sicherheitslücken früher im Entwicklungsprozess entdeckt werden, sind sie in der Regel kostengünstiger und leichter zu beheben. Dieser Früherkennungsmechanismus mindert nicht nur das Risiko potenzieller Sicherheitsverletzungen, sondern entspricht auch den bewährten Methoden zur Entwicklung sicherer Anwendungen in den heutigen schnelllebigen Softwareentwicklungsumgebungen.

Wenn Teams der Sicherheit von Anfang an Priorität einräumen, können sie die Wahrscheinlichkeit kostspieliger und schädlicher Sicherheitsvorfälle nach der Bereitstellung deutlich verringern und das Vertrauen der Benutzer(innen) in die Anwendung und das dahinter stehende Unternehmen stärken. Auf diese Weise schützt SAST nicht nur die Anwendung, sondern wahrt auch den Ruf und die Zuverlässigkeit des Entwicklungsteams und ist ein Zeichen für Exzellenz und Vertrauenswürdigkeit in der Softwareentwicklung.

Mit DAST kannst du Sicherheitsprobleme und Sicherheitslücken in deinen Anwendungen aufspüren, die mit anderen traditionellen Testmethoden, die sich auf den Code und die Technologie in deiner Anwendung konzentrieren, wahrscheinlich nicht erkannt werden. DAST simuliert Angriffe auf die Anwendung, um Sicherheitslücken zu identifizieren, die ein(e) Angreifer(in) ausnutzen könnte, damit du sie beheben kannst, bevor sie wirklich ausgenutzt werden.

Außerdem bietet die Fähigkeit von DAST, Anwendungen im laufenden Betrieb zu testen, einzigartige Einblicke in das Laufzeitverhalten und in umgebungsspezifische Sicherheitslücken, die bei der statischen Analyse möglicherweise übersehen werden. Dazu gehört das Testen auf Fehlkonfigurationen, Authentifizierungs- und Sitzungsverwaltungsfehler sowie auf operative Probleme, die erst im laufenden Betrieb auftreten.

SAST und DAST werden immer häufiger zu Tools für DevOps-Teams.

Laut der globalen DevSecOps-Umfrage 2022 von GitLab führen 53 % der Entwickler(innen) SAST-Scans durch (gegenüber weniger als 40 % im Jahr 2021) und 55 % der Entwickler(innen) DAST-Scans (gegenüber 44 % im Jahr 2021).

SAST und DAST erkennen weitgehend verschiedene Arten von Sicherheitslücken und Sicherheitsproblemen. Hier sind einige der Sicherheitsprobleme, die SAST und DAST identifizieren können.

SAST kann erkennen:

• SQL Injection
• Pufferüberläufe
• XML-External-Entity (XXE)-Sicherheitslücken
• Kritische Sicherheitslücken, die in Industriestandards wie OWASP Top 10 und SANS/CWE Top 25 genannt werden

DAST kann erkennen:

• Cross-Site-Scripting (XXS)
• SQL Injection
• Schwachstellen durch fehlerhafte Authentifizierung
• Verschlüsselungsprobleme
• Fehlkonfigurationen deines Anwendungsservers oder deiner Datenbanken
• Falsche Annahmen über Sicherheitskontrollen, die möglicherweise nicht aus dem Quellcode ersichtlich sind

Um alle Vorteile von SAST und DAST zu nutzen, solltest du folgende Dinge beachten:

• Integriere SAST und DAST in den Workflow und die CI/CD-Pipeline deines Teams.
• Sorge dafür, dass SAST und DAST automatisch ausgeführt werden, damit dein Team die Tests nicht manuell initiieren muss.
• Stelle sicher, dass die Ausführung von SAST und DAST nicht umgangen oder vergessen werden kann.
• Lege Beschränkungen fest, damit Code mit entdeckten Sicherheitslücken nicht ohne die entsprechenden Genehmigungen zusammengeführt werden kann.
• Stelle sicher, dass die von dir verwendeten SAST- und DAST-Analysatoren regelmäßig aktualisiert werden, damit du von den neuesten Definitionen für Sicherheitslücken profitierst.
• Setze SAST und DAST so ein, dass alle deine Teams – Entwicklung, Betrieb und Sicherheit – die Ergebnisse der Scans leicht einsehen und gemeinsam an der Behebung von Sicherheitsproblemen arbeiten können.

Du solltest sowohl SAST als auch DAST verwenden, um deinem Team zu helfen, sichere Software zu entwickeln und Sicherheitsprobleme früher zu erkennen, damit sie dich nicht ausbremsen können.

SAST sollte sehr früh im Lebenszyklus der Softwareentwicklung durchgeführt werden, idealerweise sobald der Code committet wurde. Das bedeutet, dass Sicherheitslücken im Code aufgedeckt und der Person, die den Code committet hat, angezeigt werden können, solange die Erinnerung an den Code noch frisch ist.

DAST sollte immer dann ausgeführt werden, wenn du eine Änderung an deiner Anwendung vornimmst, idealerweise bei der Bereitstellung in einer Testumgebung. So kannst du Probleme erkennen, bevor sie in die Produktivumgebung gelangen. DAST kann auch verwendet werden, um Live-Webanwendungen kontinuierlich auf Probleme wie Cross-Site-Scripting oder Schwachstellen durch fehlerhafte Authentifizierung zu überwachen.

Was sie überprüfen

SAST scannt den Quellcode, während DAST Anwendungen und APIs oder Webservices überprüft, mit denen deine Anwendung eine Verbindung herstellt, wie z. B. GraphQL, REST und SOAP.

Wann sie überprüfen

SAST findet früh im Lebenszyklus der Softwareentwicklung statt, kurz nachdem der Code geschrieben wurde, während DAST später im Entwicklungsprozess durchgeführt wird, sobald eine funktionierende Anwendung in einer Produktivumgebung oder sogar mit Produktionscode ausgeführt wird.

Unterschied zwischen den Testarten

SAST ist ein White-Box-Test, der nach Sicherheitslücken innerhalb der Anwendung und des Codes sucht, während DAST ein Black-Box-Test ist, der nach Sicherheitslücken sucht, die jemandem von außen das Eindringen ermöglichen könnten.

Zugriff auf den Quellcode

SAST-Tools scannen den Quellcode einer Anwendung, während DAST-Tools keinen Zugriff auf den Quellcode haben.Unterschied in der Sprachabhängigkeit

Da SAST deinen Quellcode scannt, ist es von den verwendeten Programmiersprachen und Entwicklungsframeworks abhängig. Das SAST-Tool, das du verwendest, muss die von dir verwendete Programmiersprache unterstützen – egal, ob es sich um C++, Python, Go, React, Ruby oder eine andere handelt.

Im Gegensatz zu SAST ist es für DAST egal, auf welchen Sprachen oder Frameworks deine Anwendung basiert, denn es testet deine Anwendung von außen, wie es ein(e) Angreifer(in) tun würde.

Falsch positive Ergebnisse

Bei SAST kommt es tendenziell zu mehr falsch positiven Ergebnissen als bei DAST. Das liegt daran, dass es auf den Quellcode fokussiert ist und nicht über den gesamten Kontext verfügt, um zu wissen, ob eine Codezeile, die problematisch aussieht, tatsächlich an anderer Stelle gelöst ist. Einige DAST-Anbieter, wie z. B. GitLab, sind in der Lage, einige der Fehlalarme in SAST zu identifizieren.

Die DevSecOps-Plattform von GitLab kann dir helfen, das Beste aus SAST und DAST – und vielem mehr – herauszuholen, damit du die Sicherheit deiner Anwendungen ohne Geschwindigkeitseinbußen verbessern kannst.

Mehr erfahren:

• Unsere Dokumentation
• Unsere Lösungsseite zu DevSecOps, Sicherheit und Governance