.png)
TL;DR：
ダイナミック・アプリケーション・セキュリティ・テスト（DAST）は、アプリの実行中に、自動化されたハッカーが脆弱性を探るように動作してアプリをテストします。設定ミス、認証の欠陥、インジェクションの脆弱性など、実世界のシナリオで問題を発見するのに最適です。
- 保護するウェブアプリ、API、モバイルアプリ
- タイプアプリケーションセキュリティポスチャ管理（ASPM）
- SDLCに適合する：テストとデプロイのフェーズ
- 別名：ブラックボックステスト、ペネトレーションテストの自動化
- サポート実行中のすべてのアプリケーションまたはAPI
DASTとは？
DASTは、アプリケーションの実行中にそのセキュリティを評価するブラックボックステスト手法です。静的なコードを分析するSASTとは異なり、DASTは、外部ユーザと同じようにアプリと対話し、攻撃をシミュレートして脆弱性を特定します。
DASTの長所と短所
長所だ：
- 実環境テスト：本番環境で攻撃者がどのようにアプリを操作するかをシミュレートします。
- 幅広いカバレッジ：静的コード解析で見逃された脆弱性を特定します。
- コードアクセス不要：ソースコードにアクセスすることなく動作します。
- ランタイムの問題を見つける：アプリの実行中にのみ現れる脆弱性を検出します。
短所だ：
- 実行パスに限定：実行時に相互作用できるものだけをテストする。
- 誤検知：手作業による検証を必要とする重要でない問題にフラグを立てることができる。
- パフォーマンスへの影響：スキャンにより、アプリケーションの動作が一時的に遅くなることがあります。
- SDLC の後半：修正にコストがかかる段階で問題を特定する。
DASTは具体的に何をするのか？
DASTツールは攻撃者のように動作し、実行中のアプリを調査する：
- インジェクションの脆弱性：SQLインジェクション、コマンドインジェクション、その他の入力関連の欠陥。
- 認証の弱点：ログインメカニズムやセッション管理の欠陥が露呈する。
- 設定の誤り：安全でないサーバー設定や公開されたエンドポイントを特定する。
- ランタイムエラー：アプリケーションの実行中にのみ発生する脆弱性を発見する。
DASTは何からあなたを守るのか？
DASTはあなたのアプリを以下から保護します：
- データ漏洩：機密情報が流出する可能性のある領域を検出します。
- 不正アクセス：認証や認可の仕組みが脆弱であることを示す。
- クリティカル・エクスプロイト：インジェクション欠陥のような重大性の高い脆弱性にフラグを立てる。
- 壊れたAPI：誤動作や安全でないAPIエンドポイントを特定する。
DASTはどのように機能するのか？
DASTツールは、以下の方法でアプリケーションをテストする：
- アプリのクロール：アクセス可能なすべてのエンドポイント、ページ、機能をマッピングする。
- 攻撃のシミュレーション：悪意のある入力を送信し、アプリがどのように反応するかを確認する。
- レスポンスの分析：アプリの動作を評価し、脆弱性の兆候を探る。
- レポートの作成検出された問題をハイライトし、重大度別にランク付けします。
これらのツールは、混乱を最小限に抑えるために、ステージング環境や本番環境に近い環境で使用されることが多い。
DASTはなぜ、そしていつ必要なのか？
DASTは次のような場合に重要である：
- デプロイ間近です：ライブまたはライブに近い環境でアプリのセキュリティを検証します。
- APIのテスト：エンドポイントが外部からの攻撃から安全であることを保証します。
- 規制コンプライアンス：侵入テストやランタイム解析の要件を満たす。
- サードパーティの統合の評価：外部コンポーネントが脆弱性をもたらさないことを確認する。
DASTはSDLCパイプラインのどこに適合するか？
DAST は SDLC のテストと デプロイのフェーズに最適です：
- テスト段階：ステージング環境でDASTスキャンを実行し、実環境を模倣する。
- デプロイ段階：稼働中のアプリケーションに対してスキャンを実施し、早期に見逃していた脆弱性を検出する。
正しいDASTツールを選ぶには？
DASTツールを選択する際には、以下の点を考慮する：
- 互換性：アプリの技術スタック（シングルページアプリ、APIなど）をサポートしていることを確認する。
- 自動化機能：CI/CDパイプラインに統合するツールを探す。
- 正確さ：時間を節約するために、偽陽性率の低いツールを選ぶ。
- スケーラビリティ：ツールは大規模で複雑なアプリケーションを処理する必要がある。
- カスタマイズ性：特定のアプリケーションに合わせてスキャンを構成する能力。
ベストDASTツール2025
DAST FAQs
1.DASTとSASTの違いは何ですか？
SASTは実行前にコードをスキャンする。DASTは、本物のハッカーが行うように、アプリを実行中に攻撃する。SASTは飛行前のチェックリストのようなもので、DASTは飛行機が持ちこたえられるかどうか、空中でクラッシュテストをするようなものだと考えてください。
2.DASTはAPIをテストできますか？
その通りだ。実際、優れたDASTツールは、ウェブアプリと同じようにAPIをスキャンできるはずです。APIは攻撃者にとって格好の標的であり、DASTはエンドポイントがインジェクション攻撃や認証の破たん、データ漏洩に対して脆弱かどうかをチェックすることができる。
3.DAST スキャンはどのくらいの頻度で実行すべきですか？
あなたが思っている以上に。理想的には、CI/CDパイプラインでDASTスキャンを自動化し、すべてのリリースがテストされるようにすることだ。それが重すぎるのであれば、少なくとも週1回のスキャンをスケジュールし、大規模なデプロイの前には必ず実行すること。
4.DASTは私のアプリのすべての脆弱性を見つけることができますか？
いや、どんなセキュリティツールにもできない。DASTは、認証の欠陥、インジェクション攻撃、設定ミスといった実行時の問題を発見するのには優れています。しかし、脆弱な暗号や安全でない依存関係のような静的なコードの問題を見つけることはできません。だからこそ、DAST + SAST + SCA =より優れたセキュリティなのです。
5.DASTは私のアプリケーションを壊すでしょうか？
DASTスキャンが原因でアプリがダウンした場合、おめでとうございます。まれにですが、積極的なスキャンはパフォーマンスの問題を引き起こしたり、不安定なアプリケーションをクラッシュさせたりする可能性があります。
6.DASTをDevSecOpsパイプラインで使用できますか？
そうだ！最新のDASTツールはCI/CDパイプラインに統合され、デプロイ前にステージング環境で自動スキャンを実行して脆弱性を検出する。重要なのは、スピードと深さのバランスをとることである。
7.DASTで偽陽性を減らすにはどうすればよいですか？
スキャン設定の微調整既知の安全なエンドポイントをホワイトリストに登録し、攻撃ペイロードをカスタマイズし、開発者をパニックモードに陥らせる前に手動で調査結果を検証する。最近のDASTツールの中には、AIやファジング技術を使用して精度を向上させているものもあります。
