Apa itu pengujian keamanan aplikasi dinamis (DAST)?

Dibandingkan dengan jenis pengujian keamanan aplikasi (AppSec) lainnya, DAST menonjol karena pendekatan outside-in miliknya. Sementara alat lain memerlukan kode sumber dan akses internal ke aplikasi untuk menilai kerentanan keamanan, DAST menguji aplikasi di lingkungan waktu proses mereka dari luar, menggunakan simulasi serangan untuk meniru aktor jahat. Untuk alasan ini, DAST kadang-kadang disebut pengujian outside-in atau pengujian kotak hitam, yaitu metode pengujian di mana sistem diperiksa tanpa penguji mengakses, menyelidiki, atau bahkan mengetahui tentang cara kerja internal.

Pengembang saat ini bekerja dengan cepat, sering kali memperbarui area kode tertentu beberapa kali sehari tanpa gambaran komprehensif tentang seluruh basis kode. Mereka sangat bergantung pada komponen pihak ketiga dan sumber terbuka dan sering kali kesulitan untuk berkolaborasi secara efektif dengan tim keamanan. Sebagian besar juga bekerja pada aplikasi yang semakin kompleks, dengan banyak fitur, pustaka, dan dependensi, sekaligus mengelola ancaman keamanan siber yang terus berkembang.

Hasilnya adalah area permukaan serangan yang terus meningkat untuk kerentanan keamanan yang makin mempersulit penulisan kode yang aman dan perlindungan informasi sensitif dari pelanggaran data. Pengembang membutuhkan cara untuk menguji potensi kerentanan saat mereka bekerja, tanpa mengorbankan produktivitas mereka.

DAST membantu mewujudkan hal ini dengan mengotomatiskan proses pengujian keamanan. Ini bekerja dengan meniru tindakan peretas dunia nyata, bekerja dari luar untuk mengungkap potensi kerentanan dalam aplikasi yang sedang berjalan. DAST memungkinkan pengembang untuk menguji kode mereka dan melihat dampaknya terhadap keamanan aplikasi secara keseluruhan sebelum ditayangkan dan unggul dalam menunjukkan masalah keamanan, seperti kesalahan autentikasi dan kerentanan kode, yang sering kali terlewatkan oleh metode pengujian lain, seperti Analisis Komposisi Perangkat Lunak (SCA).

Alat DAST modern (lihat di bawah) juga terintegrasi dengan lancar ke DevOps dan saluran CI/CD untuk menawarkan antarmuka untuk semua tahap pengembangan, termasuk pada awal alur kerja pengembangan aplikasi.

Integrasi pembangunan dan penerapan adalah salah satu alasan tim DevOps biasanya mengadopsi DAST di lingkungan DevOps/DevSecOps sebagai bagian dari pendekatan “shift left” di mana pengujian dilakukan pada awal siklus proses pengembangan perangkat lunak (SDLC) untuk remediasi yang lebih hemat biaya dan memakan lebih sedikit waktu. Prinsip DevOps lainnya yang ditingkatkan alat DAST termasuk memprioritaskan otomatisasi, kolaborasi, dan masukan berkelanjutan sehingga pengembang dan tim keamanan dapat tetap tangkas dan produktif tanpa mengorbankan keamanan.

Karena DAST mengambil pendekatan kotak hitam, DAST meniru tindakan yang mungkin diambil aktor ancaman jahat ketika mencoba menerobos aplikasi web.

Secara umum, DAST mencakup lima langkah berikut:

Meskipun alat pengujian DAST tidak memiliki subjenis resmi, para pakar keamanan sering kali mengategorikannya ke dalam dua kelompok informal, yaitu alat DAST modern dan alat DAST lama, dengan otomatisasi/integrasi dan validasi kerentanan sebagai perbedaan utama.

Alat DAST lama sering kali tidak memiliki fitur otomatisasi, meskipun proses pemindaiannya dilakukan secara otomatis. Mereka biasanya berfokus pada pengujian dasar, yaitu mengirim permintaan, menerima respons, dan membuat penilaian awal, dan tidak menawarkan validasi kerentanan penuh, hanya daftar potensi masalah keamanan.

Alat DAST modern memiliki tingkat otomatisasi yang lebih tinggi dan menawarkan ulasan yang lebih menyeluruh terhadap kerentanan aplikasi web.

Solusi DAST modern dapat diintegrasikan dengan lancar ke dalam SDLC dan beroperasi secara transparan di latar belakang. Selain itu, server otomatisasi dapat memicu alat DAST modern dan menyajikan hasil pemindaian sebagai tiket dalam pelacak masalah pengembang. Beberapa alat DAST modern bahkan menyediakan bukti eksploitasi, sehingga menghilangkan kebutuhan verifikasi manual yang memakan waktu oleh penguji penetrasi atau pakar keamanan.

DAST sering dianggap sebagai bagian penting dari pengujian keamanan aplikasi web. Beberapa keunggulan uniknya meliputi:

• Keserbagunaan. Pengguna dapat menggunakan DAST pada berbagai tahap siklus pengembangan perangkat lunak. DAST dapat menguji aplikasi web dalam kondisi berjalan dan aplikasi yang telah diterapkan tanpa modifikasi, sehingga lebih mudah untuk mengevaluasi sistem lama.

• Otomatisasi. Alat DAST dengan mudah diintegrasikan ke dalam DevOps dan saluran CI/CD, sehingga alat ini dapat menjalankan pengujian keamanan otomatis pada awal proses pengembangan dan secara signifikan mengurangi biaya remediasi.

• Tidak bergantung pada bahasa. Karena DAST bekerja dari luar ke dalam, alat ini tidak bergantung pada bahasa pemrograman yang digunakan dalam aplikasi dan dapat bekerja pada banyak kerangka kerja yang berbeda. DAST secara efektif menguji antarmuka web dan API, meniru cara penyerang menemukan kerentanan.

• Lebih sedikit hasil positif palsu. DAST biasanya menghasilkan positif dan negatif palsu yang lebih rendah saat mensimulasikan tindakan pengguna daripada metode lain, seperti SAST.

• Pengujian yang realistis dan dapat diulang. Karena meniru perilaku penyerang di dunia nyata, DAST merupakan solusi praktis untuk mengidentifikasi kerentanan yang dapat dieksploitasi oleh aktor jahat. DAST juga menawarkan keuntungan dari pengujian yang dapat diulang, sehingga memungkinkan penilaian kerentanan yang berkelanjutan seiring dengan perkembangan aplikasi.

• Penemuan kerentanan yang komprehensif. DAST dapat mengungkap berbagai kerentanan, termasuk injeksi SQL, XSS, dan kesalahan konfigurasi.

• Keselarasan dengan standar industri. Bisnis sering menggunakan DAST untuk mematuhi standar industri dan membantu pelaporan peraturan, seperti kepatuhan PCI. Banyak perusahaan menggunakan daftar OWASP Top 10 sebagai tolok ukur kepatuhan untuk risiko keamanan aplikasi.

Meskipun banyak manfaatnya, DAST memiliki keterbatasan. Meskipun DAST terampil dalam mengidentifikasi kelemahan keamanan dalam aplikasi yang berjalan, DAST mungkin tidak mengungkap semua kerentanan, terutama yang memerlukan serangkaian tindakan tertentu. Menggabungkan DAST dengan metode lain, seperti pengujian keamanan aplikasi statis (SAST—lihat di bawah), pengujian keamanan aplikasi interaktif (IAST), analisis komposisi perangkat lunak (SCA), dan pengujian penetrasi manual, dapat membantu melengkapi DAST dan menawarkan program keamanan yang lebih komprehensif .

Keterbatasan lain dari DAST dapat mencakup:

• Fokus pada kode yang dapat dieksekusi.  Karena DAST sebagian besar menguji bagian aplikasi web yang telah diterapkan (yaitu, kode yang sudah dapat dijalankan), alat ini dapat melewatkan bagian yang masih dalam pengembangan.

• Tantangan seputar autentikasi. DAST mungkin kurang efektif dengan autentikasi nonstandar dan logika bisnis yang rumit, tetapi alat DAST profesional menyertakan modul panduan untuk situasi ini.

• Dampak operasional. Tanpa penyetelan yang tepat, pengujian DAST dapat memengaruhi operasi aplikasi normal dan mungkin memunculkan data sampel atau memperlambat aplikasi. Akibatnya, banyak yang menjalankan DAST di klon lingkungan pengujian akhir atau produksi, bukan dalam produksi yang sebenarnya.

DAST dan SAST, atau pengujian keamanan aplikasi statis, adalah dua metode pengujian yang digunakan untuk mengidentifikasi kerentanan keamanan dalam aplikasi web. Namun saat DAST menilai aplikasi di lingkungan produksinya, meniru serangan pengguna yang berbahaya, dan mengidentifikasi masalah keamanan, SAST menyelidiki kode sumbernya, mencari kerentanan dalam aplikasi situs web.

Pakar keamanan siber umumnya menyarankan untuk menggunakan SAST dan DAST saat menangani risiko keamanan untuk mendapatkan pandangan lengkap tentang potensi kerentanan. Misalnya, dalam memeriksa kode sumber program, alat SAST dapat menemukan berbagai kerentanan keamanan yang mungkin terlewatkan oleh DAST, termasuk injeksi SQL, buffer overflow, serangan XXE, dan 10 risiko OWASP Top 10 lainnya.

Menggunakan metodologi SAST juga mendorong pengujian awal selama pengembangan, mengurangi kemungkinan kelemahan keamanan dalam kode sumber aplikasi selama fase selanjutnya, yang mengarah pada waktu pengembangan yang lebih singkat dan meningkatkan keamanan secara keseluruhan.