艾瑞卡软件库7月7日消息，引言
近年来，AST技术的应用程序安全测试越来越受到市场的关注，并得到了越来越多的应用。原因是越来越多的安全攻击使企业意识到网络安全的重要性。面对严峻的网络安全现状，实现高度安全的软件开发生命周期和有效性 DevSecOps 实践已成为企业和安全团队的重要目标。当大多数应用程序开发团队采用Devops模式，转向敏捷开发，以提高开发速度，缩短业务在线周期时，他们将面临业务急于在线检测不足和疾病在线的情况。诸如AST(SAST、DAST、IAST、SCA)在DevSecOps工具链模型中，测试工具得到了许多应用，主要用于实现从编码到测试阶段的安全检测。从AppSec到DevSec

Appsec是应用程序安全(application security)缩写，通常是指软件开发生命周期的应用程序安全过程，包括识别、修复和修复应用程序中的漏洞。当Appsec加入Devops时，Devsecops的集成开发、安全和操作就形成了Devsecops。AppSec和DevSecops的主要区别在于，前者是一个周期性的过程，后者是指组织中的方法论和文化。然而，最终目标是不断提供高质量的安全可靠产品，保持低成本。实现Devsecops的四种应用安全测试定义如下：[gf]1f499[/gf]静态分析（SAST）：SAST又称“白盒测试”，是一种软件安全漏洞测试。在开发应用程序时，该工具将分析源代码，以检测和报告可能导致安全漏洞的弱点。在开发的早期阶段，通过使用此类工具可以识别安全漏洞。[gf]1f499[/gf]动态分析（DAST）：又称“黑盒测试”，是一种软件安全漏洞测试。使用这类工具，可以识别开发周期后期的安全错误、运行和与环境相关的问题。[gf]1f499[/gf]交互式应用程序安全测试（IAST）：“SAST和DAST的元素同时结合”。IAST 代理分析正在运行的应用程序，具有代码可见性。[gf]1f499[/gf]软件构成分析（SCA）：软件成分分析是一种解决方案，用于扫描第三方应用程序中的源代码或生命周期中使用的开源组件。除检测漏洞外，SCA 该工具还提供了许可证的可见性，可以很容易地集成到CI/CD 从施工到预生产阶段，对管道中的漏洞进行持续检测。AST和RASPS在Devsecops下

在快速开发和外包的时代，实施安全的软件开发生命周期至关重要。为了在部署应用程序后提供额外的保护层，我们需要扩展软件安全方法。RASP只是在应用程序运行时实现自我保护的技术。

AST安全测试工具专注于从代码开发到版本发布的过程阶段，而应用程序在线运行阶段的安全保护需要依靠RASP。可以看出，RASP是AST安全能力的补充，分别作用于不同的阶段。

虽然RASP和IAST使用类似的技术；当它们都在Web服务器上运行并连接到应用程序时，它们的目的、方法和输出是不同的。

例如，IAST基于动态污点跟踪技术对应用程序进行分析，分析外部输入代码中的执行过程中是否存在相关的清洁、过滤、验证等操作，最终报告包含风险数据流；RASP在后台运行，分析应用程序的流量和活动。它只会在发现恶意行为即将实施时发出警告或拦截，而不会关注正常流量和行为。最后，它报告了恶意行为的事件信息。IAST 作为安全测试的一部分，在测试环境中运行的主要目的是检测漏洞进行修复，而 RASP 目的是在攻击发生时报告或阻止攻击，在生产环境中运行。

作为 DAST 和 SAST 补充工具，RASP 可帮助 DevSecOps 团队了解软件在线运行过程中的安全风险，深入应用程序，防止恶意攻击。通过给应用程序额外的保险，真正的攻击行为可以作为帮助开发团队提高安全意识和加速的材料 DevOps。此外，RASP安全产品与应用程序集成，通过分析流量和最终用户行为来防止运行过程中的攻击。当 RASP 当产品检测到攻击时，它们会发出警报，以防止单个请求的应用程序执行，并向应用程序发出“虚拟补丁”以防止后续攻击。由于 RASP 在代码运行过程中工作的环境中，可以更准确地识别代码级信息的攻击，减少误报和报告或防止真正具有威胁性的操作。虽然RASP是AST强化的“武器”，但其作用阶段不同，但RASP通常比AST强化有以下四点：[gf]1f60e[/gf] RASP 它可以加速应用程序的发布过程。当一些漏洞来不及修复时，可以使用 RASP 提供临时保护，确保应用程序按时交付。[gf]1f60e[/gf] RASP可以提供多维度的危害指标，包括 URL、帮助安全运营团队更好地响应网络安全事件，如原始请求、攻击来源、危险参数、代码调用堆栈等。[gf]1f60e[/gf]在操作应用程序时，允许开发团队在任何时候更充分地准备和理解应用程序正在执行的操作。[gf]1f60e[/gf]其无缝集成和无代码部署对应用程序的整体性能影响最小。因此，RASP是一个包罗万象的应用程序安全选择。

总结

以上就是今天所分享的内容了，更多行业知识、软件引荐、功能比照、工具测评请关注艾瑞卡软件库。每天给大家带来更高效的企业服务软件，其中包括有微信,逗鱼时刻,微客优品,睛彩,淘汇购,集市易选,泡泡易选,千喜惠,聊讯,优乐购,淘卷淘,花惜,易凡,有趣超市,思语,陌陌,百盛,达信酷,钉钉,坤米,惊喜淘,支付宝,QQ,微信红包辅助,苹果微信多开,微信分身,安卓微信多开等现如今热门社交软件，其中功能有秒抢,避雷,秒,埋雷软件,扫尾,单透软件等一些红包强项外挂功能软件免费下载使用！