2024年【IAST安全左移最佳工具】

号称几乎零成本接入到功能测试流程，就是将IAST的agent内置到功能测试机的装机镜像中，这样搭建一个测试环境就有IAST检测能力。这是产品宣传的介绍，但实际使用时，还需要考虑  

怎样保证装机覆盖度?  

怎样无缝覆盖新创建的镜像，怎样检测非镜像安装的环境，怎样保证IAST运行正常  

怎样保证每个测试环境所有的功能模块都是最新的?  

报警处理怎么找到对应的修复人？  

这些问题都是与具体的使用场景有关系，需要在实施前进行仔细思考，否则IAST对接后，无法达到理想效果，需要返工处理

• 能够覆盖全业务场景

  传统动态应用安全测试(DAST)很难覆盖使用一次Token，或者有人机校验的场景，而IAST基于测试的流量，可以覆盖所有场景

• 报警误报率极低

  IAST的实际检测方式与人工代码审计的流程基本一致，可以说IAST是将安全专家审计代码的流程进行了自动化，基于获得的软件内部数据流和控制流多种数据综合判定是否存在安全漏洞，误报率是比较低。

• 代码级漏洞详情

  这个比较好理解，在具体检测到漏洞的代码处，可以记录问题代码的文件、行号、用户输入、函数调用栈等详细信息

• 赋能研发和测试

  是最好的赋能研发、测试工程师的工具，使其具有安全专家的能力

• 降低漏洞修复成本

  在研发和测试阶段检测的漏洞，研发可以及时修复，对于成本降低显而易见。

• 安全适度左移的最佳方案

  安全左移被Gartner提出后，受到热捧，是符合企业软件开发的诉求，但安全怎样左移却没有一个统一标准，有些企业把安全左移的怨声载道，