L'espace des logiciels DevSecOps continue d'évoluer alors que les équipes de développement de produits s'efforcent d'adopter des stratégies de livraison "sécurisées par défaut". En février 2022, G2 a lancé sa catégorie Interactive Application Security Testing (IAST) Software pour représenter une approche clé des tests.

IAST : le plus jeune frère de SAST et DAST

Le logiciel IAST existe depuis environ quatre ans, mais il a encore beaucoup de place pour se développer sur le marché. Il rejoint le test de sécurité des applications statiques (SAST) et le test de sécurité des applications dynamiques (DAST) pour former un répertoire à partir duquel les équipes de développement peuvent adapter l'approche qui leur convient le mieux. Alors que SAST exécute des tests de sécurité sans réellement exécuter le code d'une application (d'où le terme "statique"), et que DAST utilise une méthode de test en boîte noire pour effectuer des tests depuis l'extérieur de l'application, le logiciel IAST permet aux utilisateurs de configurer une analyse de sécurité automatisée qui se déroule à l'intérieur de l'application pendant son exécution.

Le logiciel IAST n'est pas un outil universel qui usurpe les SAST et DAST. Au contraire, il est préférable de le considérer comme un complément à l'une ou l'autre de ces solutions. DevSecOps, la stratégie de livraison de logiciels qui cherche à rationaliser les flux de travail grâce à un développement, une intégration, une sécurité et une livraison continus, nécessite l'automatisation pour réussir.

IAST, SAST et DAST automatisent tous des aspects du processus de test de sécurité des logiciels pour aider les équipes à atteindre la sécurité par défaut, mais les approches qu'ils permettent diffèrent. Une stratégie DevSecOps réussie nécessite une combinaison de mesures de sécurité qui sont à la fois complètes et approfondies tout en économisant du temps en faisant de la sécurité une partie naturelle du processus de développement.

Comment l'IAST aide-t-il ?

Comme SAST, IAST est généralement utilisé dans les premières étapes du cycle de développement logiciel. Cela signifie que les problèmes de sécurité sont détectés plus tôt que tard, ce qui permet aux équipes de gagner beaucoup de temps et d'éviter des maux de tête.

L'un des avantages d'une approche DevSecOps est que plus les équipes peuvent combler les failles de sécurité au fur et à mesure, moins elles doivent revenir en arrière et refaire. Étant donné qu'il surveille les applications de l'intérieur en temps réel, le logiciel IAST a également le potentiel d'être beaucoup plus efficace que SAST et DAST. Lorsque l'IAST détecte des vulnérabilités basées soit sur des exigences de conformité connues, soit sur des paramètres définis par l'utilisateur, il en informe automatiquement les testeurs de logiciels. Au-delà de la notification, le logiciel IAST fournit des suggestions de remédiation pour donner aux développeurs un point de départ alors qu'ils travaillent à résoudre les problèmes.

Cependant, il convient de noter que le logiciel IAST ne s'exécute qu'à des points prédéfinis. Cela signifie que les utilisateurs de logiciels IAST doivent être minutieux lorsqu'ils déterminent quels tests doivent être exécutés et quand. L'intégration de l'IAST avec d'autres outils d'automatisation des tests peut compléter cette pratique, car les utilisateurs peuvent réutiliser leurs paramètres de test établis. Contrairement aux points de test définis par l'utilisateur de l'IAST, SAST analyse l'intégralité du code de l'application. Avec cela à l'esprit, SAST a une couverture plus large que l'IAST, mais il peut également produire plus de faux positifs lors de la détection de vulnérabilités.

Regarder vers l'avenir

Chez G2, nous continuerons à mettre à jour notre taxonomie pour représenter les marchés émergents des logiciels. Bien que l'espace IAST ne soit pas aussi robuste que les espaces SAST et DAST, il constitue une pièce importante du puzzle des tests de sécurité des applications (AppSec). Nous nous attendons à voir plus de produits ajoutés à la catégorie à mesure que l'espace DevSecOps continue d'évoluer rapidement.