SAST-gesteuertes DAST. Findings zur Laufzeit prüfen.
Farion verbindet statische Analyse direkt mit dynamischen Tests. Ein SAST-Finding liefert Route, Parameter, verwundbare Operation und Datenfluss für einen gezielten Test an der laufenden Anwendung. Das Ergebnis fließt mit Laufzeitnachweisen in dasselbe Finding zurück.
Active Verification wird erst aktiviert, nachdem Ownership oder eine ausdrückliche Testautorisierung für das Zielsystem verifiziert wurde.
Den im Code erkannten Pfad testen.
Die Erfassung von Endpunkten zeigt einem Scanner, wohin er Anfragen senden kann. Farion kennt zusätzlich das Ergebnis der statischen Analyse: die betroffene Eingabe, die erreichte Operation und den Pfad dazwischen. Dieser Kontext richtet DAST auf eine konkrete Schwachstellenhypothese aus und verbindet das Ergebnis mit einem bestehenden Finding.
1. Mit dem SAST-Finding beginnen
Nutzen Sie Route, betroffenen Parameter, verwundbare Operation und Datenfluss des Findings, um festzulegen, was der dynamische Test prüfen soll.
2. Das autorisierte Ziel konfigurieren
Wählen Sie die laufende Anwendung und Testumgebung. Bestätigen Sie Eigentum oder Testautorisierung und konfigurieren Sie die Authentifizierung für geschützte Pfade.
3. Einen gezielten Test erzeugen und ausführen
Farion nutzt den Kontext der statischen Analyse, um einen Test für das Finding zu erzeugen und an der konfigurierten Anwendung auszuführen. Der Codekontext bestimmt die Ausrichtung von Anfrage und Payload.
4. Laufzeitnachweise prüfen
Prüfen Sie Payload, Anfragen, Antworten und Beobachtungen gemeinsam mit dem ursprünglichen SAST-Finding. Bewerten Sie, was die Ausführung nachgewiesen hat, und nutzen Sie das Ergebnis im selben Bewertungs- und Behebungsprozess.
| Routenpfad | Ausnutzbarkeit | SCA | SAST | DAST | |
|---|---|---|---|---|---|
APIPOST/api/auth/login | 5/5 | 7 | 2 | 2 | |
A07:2021 – No rate limiting on authentication endpointCWE-307: Improper Restriction of Excessive Authentication Attempts DAST medium The /api/auth/login endpoint does not implement rate limiting or account lockout. An attacker can perform unlimited login attempts for credential brute-forcing. Target EndpointPOST https://shop.example.com/api/auth/login Attack DetailsPayloadEvidenceAll 100 requests returned HTTP 401 in ~0.8s avg response time with no rate limiting headers (X-RateLimit-*). No CAPTCHA or account lockout triggered. | |||||
APIGET/api/users | 4/5 | 7 | 2 | 1 | |
APIPUT/api/users/:id | 4/5 | 5 | 1 | 0 | |
APIDELETE/api/users/:id | 4/5 | 4 | 1 | 0 | |
APIGET/api/restaurants/…/menu | 3/5 | 5 | 1 | 0 | |
APIGET/api/restaurants/feed | 3/5 | 5 | 0 | 1 | |
APIPOST/api/payments/checkout | 3/5 | 3 | 1 | 0 | |
APIPOST/api/auth/reset-password | 3/5 | 3 | 1 | 0 | |
APIGET/api/users/…/profile | 2/5 | 2 | 1 | 0 | |
APIGET/api/admin/dashboard | 2/5 | 2 | 0 | 0 | |
APIPOST/api/orders | 1/5 | 1 | 1 | 0 | |
APIPUT/api/orders/…/status | 1/5 | 1 | 0 | 0 | |
APIGET/api/restaurants/:id | 1 | 0 | 0 | ||
APIGET/api/orders/…/track | 1 | 0 | 0 | ||
APIGET/api/search/export | 1 | 0 | 0 | ||
APIGET/api/orders | 1 | 0 | 0 | ||
APIGET/api/health | 0 | 0 | 0 | ||
APIGET/api/config/features | 1 | 0 | 0 | ||
Geschützte Anwendungspfade einbeziehen.
Konfigurieren Sie Authentifizierung und Anwendungs-Secrets für das autorisierte Ziel. Farion kann Findings auf geschützten Routen mit den eingerichteten Zugriffsrechten testen.
Das Ergebnis bleibt beim Finding.
Die statische Analyse erkennt die vermutete Schwachstelle. Der dynamische Test ergänzt Beobachtungen aus der laufenden Anwendung. Beides bleibt am Finding, damit Ihr Team Codenachweise und Testergebnis gemeinsam prüfen kann.
Häufig gestellte Fragen
Nein. Der Test prüft die Hypothese am konfigurierten Ziel. Das Ergebnis muss zusammen mit Ausführungsnachweisen, Authentifizierung und Umgebung bewertet werden. Wenn ein Test eine Schwachstelle nicht reproduziert, beweist das allein nicht die Sicherheit der Anwendung.
Ja. Hinterlegen Sie Authentifizierung und Secrets für ein autorisiertes Ziel, damit der Test geschützte Anwendungspfade prüfen kann.
Active Verification läuft gegen konfigurierte Ziele, nachdem Eigentum oder eine ausdrückliche Testautorisierung bestätigt wurde.
Vom SAST-Finding zum dynamischen Test.
Prüfen Sie Codekontext, gezielte Ausführung und die resultierenden Nachweise gemeinsam mit unserem Team.