【IAST安全左移最佳工具】

• 🧛‍♂️个人主页：杯咖啡
• 💡进步是今天的活动，明天的保证！
• ✨目前正在学习：SSM框架,算法刷题
• 🙌牛客网，刷算法过面试的神级网站，用牛客你也牛。 👉免费注册和我一起学习刷题👈
• 🐳希望大家多多支持🥰一起进步呀！
• 😎The man who fears losing has already lost.
  怕输的人已经输了。 - 《权力的游戏》

---

今天有学员问，面试中被问到是否了解IAST，当时就懵逼了，脑袋空白，不知所云…
因此群里展开了啥是IAST的大讨论 ，将相关内容整理一下 ，供其它学员参考

啥叫IAST?

交互式应用程序安全测试（IAST）是 2012 年 Gartner 公司提出的一种新的应用程序安全测试方案，通过代理和在服务端部署的Agent 程序，收集、监控 Web 应用程序运行时请求数据、函数执行，并与扫描器端进行实时交互，高效、准确的识别安全漏洞，同时可准确确定漏洞所在的代码文件、行数、函数及参数。- 来源信通院 研发运营安全白皮书-2020年

为啥需要它?

新技术的出现，是为了解决老技术历史遗留问题，IAST的老技术就是SAST和DAST
传统的应用安全测试主要包括SAST（静态应用安全测试）和DAST（动态应用安全测试）。
SAST对应用程序源代码进行白盒分析。分析是在代码的静态视图上运行的，这意味着代码在被检测时并没有运行，SAST的误报率无法得到有效控制，并且难以适用处于生产阶段的系统。
DAST对应用进行黑盒测试，无法访问代码细节。DAST产品不用关注底层的技术和平台，因此使用度更广泛，准确率也有不错的保障。但DAST的技术特性决定了其高漏报率的结果，且无法应用于应用的研发阶段。

而如今，作为入选Gartner十大信息安全技术的IAST（交互式安全测试），结合了SAST和DAST的优点，低误报率和高检出率同时得到了保证。灰盒测试的特性使IAST可以有效地应用于从开发到生产的全流程当中，让安全测试与SDLC无缝结合。

看到上面这段描述没? 老的技术有问题，需要新的技术来顶，此段内容来源悬镜灵脉IAST介绍

IAST原理及优缺点?

IAST检测原理

基于开发语言自身的插桩技术，在软件运行过程中采用污点传播技术跟踪用户输入数据(污点)执行流程，来检查安全漏洞。

程序插桩

程序插桩?到底啥是插桩?
插桩是一种测试程序性能、检测错误、获取程序执行信息的技术(来源IBM，及维基百科)
插桩技术(Program Instrumentation)最早由J.C. Huang 在1978年发表到IEEE的《Program Instrumentation
and Software Testing》提出的。在保证被测程序原有逻辑完整性的基础上在程序中插入一些探针(probe),即添加一些代码，获得程序的控制流和数据流信息。例如通过自动工具或手动，在函数执行前后插入读取计时器的代码，获取函数执行时间。

可见，程序插桩是一项有着悠久历史的技术，主要应用在软件测试中，其实就是我们比较熟悉的测试方法，比如我们在源代码的函数执行前打印当前时间，在函数之后再次打印时间，进而计算函数的执行时间，找出影响软件性能的函数，就是源代码级别的程序插桩的一种应用。
在安全领域最早使用程序插桩技术的，目前没有一个统一说法，2012年鸟哥编写的检测php代码安全漏洞PHP taint 0.0.1，是我知道的第一个基于程序插桩技术检测安全漏洞的工具。

都这里就没有办法继续展开了，因为每种语言的插桩都不一样，与语言自身实现关系太强，比较底层，已经大大超出笔者的认知了，逃逃逃

IAST优点

• 零成本对接功能测试流程
  号称几乎零成本接入到功能测试流程，就是将IAST的agent内置到功能测试机的装机镜像中，这样搭建一个测试环境就有IAST检测能力。这是产品宣传的介绍，但实际使用时，还需要考虑
  怎样保证装机覆盖度?
  怎样无缝覆盖新创建的镜像，怎样检测非镜像安装的环境，怎样保证IAST运行正常
  怎样保证每个测试环境所有的功能模块都是最新的?
  报警处理怎么找到对应的修复人？
  这些问题都是与具体的使用场景有关系，需要在实施前进行仔细思考，否则IAST对接后，无法达到理想效果，需要返工处理

• 能够覆盖全业务场景
  传统动态应用安全测试(DAST)很难覆盖使用一次Token，或者有人机校验的场景，而IAST基于测试的流量，可以覆盖所有场景

• 报警误报率极低
  IAST的实际检测方式与人工代码审计的流程基本一致，可以说IAST是将安全专家审计代码的流程进行了自动化，基于获得的软件内部数据流和控制流多种数据综合判定是否存在安全漏洞，误报率是比较低。

• 代码级漏洞详情
  这个比较好理解，在具体检测到漏洞的代码处，可以记录问题代码的文件、行号、用户输入、函数调用栈等详细信息

• 赋能研发和测试
  是最好的赋能研发、测试工程师的工具，使其具有安全专家的能力

• 降低漏洞修复成本
  在研发和测试阶段检测的漏洞，研发可以及时修复，对于成本降低显而易见。

• 安全适度左移的最佳方案
  安全左移被Gartner提出后，受到热捧，是符合企业软件开发的诉求，但安全怎样左移却没有一个统一标准，有些企业把安全左移的怨声载道，成倍的增加了研发的负担，将研发部和安全部搞的水火不容，是一种典型性的步子跨的太大了。而IAST的出现应该可以说，安全左移的最佳实践，

IAST缺点

• IAST语言强相关的
  IAST是基于开发语言自身提供的插桩技术进行漏洞检测，语言对插桩的支持成为IAST先决条件，并非所有开发语言都对该技术有很好的支持 ，可以确认 Java、Python、PHP、Go 应该是有插桩技术

• IAST覆盖度依赖测试覆盖度
  IAST一般是基于功能测试人员的测试流量，因此IAST漏洞检测覆盖度依赖于功能测试的覆盖度

• 对系统性能有影响
  IAST的实现需要在不改变原有代码逻辑的基础上，则原代码特定位置添加检测探针，整体上增加了代码量，在系统运行时，增加额外的开销，进而影响整体性能 ，基于洞态在java语言的性能测试Java Agent | 洞态文档 (dongtai.io)，100并发下，性能损耗39%(供参考，具体的性能影响，与环境依赖比较大）

• 不适合乙方工程师
  IAST需要在软件环境中部署额外的agent，因此不适用乙方工程师给甲方企业做黑盒测试的场景，这种场景下，工程师无法接触到源代码或部署环境。

怎么用IAST?

IAST未来?

个人感觉IAST是比较有未来的在甲方安全测试中，如前所述，IAST有这种低误报的特性。
同时，看到有些厂商如
默认雳鉴IAST 已经能够检测逻辑漏洞了，原文"可对常见风险进行检测，且可利用专利级的检测方式，对水平越权、垂直越权等逻辑漏洞进行自动化测试"
开源网安灰盒安全测试平台- DevSecOps|IAST灰盒|灰盒测试|应用安全 (seczone.cn)也介绍"支持业务逻辑漏洞检测"
虽然目前我还没有理解他们具体怎样检测的逻辑漏洞，但相信IAST针对可以在逻辑漏洞检测方向有所突破，成为超越SAST和DAST绝对优势。

IAST相关产品

IAST是依赖于语言自身的插桩技术，因此与开发语言强相关，但看了大部分IAST产品，除开源的洞态外，基本上没有说支持啥语言，这也许就是中国网络安全产品的特色，不管用户啥环境啥场景，我的产品都行，是在不行也有0.1%能够覆盖，最终结果可想而知。在不就是我也不写清楚，想要详情请联系商务，商务左转右转，了解了到在反馈给你，然后就是每天/周跟进你是否有需求，是否需要测试，是否有计划(预算), 是否采购,让你最后买买买，你不得不删删删(联系方式)。
因此对于IAST产品的分类应该从厂商产品和语言两个方面进行比较。

最后对IAST做个总结

一句话(总结): IAST将手动安全测试变成了自动化
两句话(二层展开):
对于管理者:更加关心投入与产出，最终预期，所以可以从整个角度展开
对于技术迷:可以从实现原理角度展开
最终两种结合，形成二层介绍
IAST是利用语言自身的插桩技术，在语言内部跟踪数据执行流程，实时发现安全漏洞，具有高检出、低误报的优势，是安全适度左移最佳实践
三句话(三层扩展):
这个更加泛的角度，如插桩的产生背景，用途。IAST产品对比，优势，未来等
IAST是利用语言自身的插桩技术，在语言内部跟踪数据执行流程，实时发现安全漏洞，集成了SAST和DAST工具的优点，具有高检出、低误报的优势，是安全适度左移最佳实践, 在互联网、银行等行业得到了普遍应用，目前除检测传统安全漏洞外，能够检测权限等逻辑漏洞

参考文档

(Program Instrumentation and Software Testing (程序插桩和软件测试) 英文版 在线下载,免费下载 github5安全文库

悬镜灵脉IAST

instrumentation （插桩）技术 比较好的介绍

(IBM Source code instrumentation overview -IBM 源代码插桩技术概述-主要讲插桩的额外开销

J.C. Huang’s 程序插桩之父的网站
J.C. Huang’s 程序插桩之父的介绍
信通院 研发运营安全白皮书-2020年 http://www.github5.com/view/266