安全玻璃盒 | 被动型 IAST交互式应用安全测试是实现DevSecOps自动化安全测试阶段的最佳方案

把Sec塞进DevOps不只是技术与工具变更那么简单，更重要的是思维方式和内部流程的转变，推进DevSecOps的关键原则是：别给人添麻烦。

《Gartner 2017研究报告：DevSecOps应当做好的十件事》和《Gartner 2019研究报告：DevSecOps应当做好的十二件事》两篇研究报告中都对成功实施DevSecOps进行了研究。两篇报告一致认为实施DevSecOps的关键挑战和第一要素是：“安全测试工具和安全控制过程能够很好的适应开发人员，而不是背道而驰”。安全团队想要将安全测试或安全控制成功的融入在DevOps中的前提是：
不要试图改变程序员和测试人员的工作方法，也不要去增加他们额外的工作负担。

否则你将破坏DevOps的协作性和敏捷性，注定会成为众矢之的，最终无法落地。由于破坏DevOps的协作性和敏捷性而失败的惨痛案例笔者身边就有好几个。

应用安全测试在CI/CD软件开发周期中的集成点
WEB应用安全测试目前在市场上有众多的解决方案，其中最老牌、应用最为广泛的应属SAST和DAST这两类的测试工具，通过在源代码 (SAST) 或公开对外接口 (DAST) 上运行安全扫描，可以在应用上线之前识别并纠正许多漏洞。
然而随着 DevSecOps 被广泛接纳，Gartner 在 2017 年的研究报告中明确提倡用 Interactive Application Security Testing (IAST) 替换 SAST 和 DAST，原文如下：
考虑交互式应用安全测试 (IAST) 替代传统的静态应用安全测试（SAST）和动态应用安全测试 (DAST) 是可行的，我们建议这么做。IAST 是在DAST基础上的一种改进形式，测试过程更加可视化，包括内部和外部的。IAST 综合了 DAST 和 SAST 的优势，在确保测试代码覆盖率的基础上尽可能的做到了减少误报。

接下来笔者分析一下 Gartner 为何如此推崇在 DevSecOps 中采用 IAST 来替换 SAST 和 DAST。

1、SAST 因效率差、误报率高无法敏捷的融入到 DevOp