摘要: 前一篇文章《Web安全之SAST和DAST(静态和动态应用程序安全测试)详解》讲了SAST和DAST，本篇文章详细讲解一下这两种安全测试方法相结合的测试方法IAST。什么是IAST IAST（Interactive Application Security...
前一篇文章《Web安全之SAST和DAST(静态和动态应用程序安全测试)详解》讲了SAST和DAST，本篇文章详细讲解一下这两种安全测试方法相结合的测试方法IAST。
什么是IAST
IAST（Interactive Application Security Testing），交互式应用程序安全测试，是一种自动化的应用程序安全测试技术，通过结合动态分析和静态分析的方法来检测应用程序中的安全漏洞。通过插桩技术（Instrumented）收集安全信息，持续地从内部运行的代码中发现安全和逻辑问题，提供实时的报警和展示，从而帮助开发人员快速定位和修复相关问题。在整个软件开发生命周期中，可以在开发与测试阶段中使用IAST工具。
IAST是一种应用程序运行时的漏洞检测技术，这一点和DAST是类似的。IAST安装在应用程序内部，可以生成源码级别漏洞报告，方便开发人员进行漏洞修复，这一点和SAST类似。
二、IAST的优势
IAST相比SAST和DAST有以下几个优势：
- 实时漏洞检测，IAST能够在应用程序运行时实时地发现安全漏洞。
- 可以检测和识别应用程序依赖的三方组件的安全漏洞。
- 灵活的漏洞检测逻辑，在使用内置检测逻辑的同时，可以针对特定业务配置检测逻辑。
- 低成本，可以使用较低的成本完善检测策略和逻辑，覆盖更多的场景。
小结
IAST不仅可以模拟攻击行为，还能够检测和识别应用程序内部的组件和功能，并对其进行分析和测试。IAST利用应用程序中的执行路径信息，能够在应用程序运行时进行深入的安全分析，识别和报告应用程序中可能存在的安全漏洞。相较于传统的SAST和DAST，IAST具有更高的准确性和更低的误报率，同时也能够更快地发现漏洞。
稿源：https://baijiahao.baidu.com/s?id=1763618795822366723
