DAST Nedir?
Yayın: · Son güncelleme:
DAST Nedir? Kısaca
DAST (Dynamic Application Security Testing), çalışan bir uygulamayı dışarıdan, bir kullanıcı ya da saldırgan gibi test ederek güvenlik açıklarını bulmaya çalışan dinamik uygulama güvenliği testidir.
DAST nedir?
DAST, "Dynamic Application Security Testing" ifadesinin kısaltmasıdır ve Türkçede dinamik uygulama güvenliği testi olarak geçer. Araç kaynak koda bakmaz. Bunun yerine yayındaki ya da test ortamındaki uygulamaya istekler gönderir, cevapları inceler ve güvenlik açığı belirtisi arar.
Nasıl çalışır?
Araç önce uygulamadaki sayfaları ve formları keşfeder. Ardından her girdiye, açık olup olmadığını anlamak için hazırlanmış test değerleri gönderir. Uygulamanın verdiği beklenmedik hata mesajları, yanlış yönlendirmeler ya da eksik güvenlik başlıkları raporlanır.
Bu yöntem, kodun hangi dille yazıldığından bağımsız çalışır. Sunucu yapılandırması ve çerez ayarları gibi yalnızca çalışma anında görülen sorunları da yakalayabilir.
DAST ne demek, SAST'tan farkı ne?
Kısa cevap "dışarıdan test"tir. SAST ise kodu içeriden, çalıştırmadan inceler.
| DAST | SAST | |
|---|---|---|
| Neye bakar? | Çalışan uygulama | Kaynak kod |
| Ne zaman? | Test veya yayın aşaması | Geliştirme aşaması |
| Güçlü yanı | Yapılandırma hataları | Hatanın satırını gösterme |
Nelere dikkat etmeli?
Taramalar gerçek istekler gönderdiği için yalnızca izinli sistemlerde ve tercihen test ortamında çalıştırılmalıdır. Örneğin bir ekip, yeni sürümü her gece test sunucusunda otomatik tarar ve sabah bulguları gözden geçirir. Canlı sisteme izinsiz tarama yapmak hem hizmeti aksatabilir hem de hukuki sorun doğurur. Aracın giriş gerektiren sayfalara ulaşabilmesi için test hesabı tanımlamayı da planlayın.
Sıkça Sorulan Sorular
DAST sızma testinin yerini tutar mı?
Tutmaz. DAST otomatik ve tekrarlanabilir bir taramadır; sızma testi ise uzmanların iş mantığı hatalarını da arayan, daha derin bir değerlendirmesidir.
DAST araçları yanlış alarm verir mi?
Verebilir. Bulguların bir kısmı gerçekte istismar edilemeyen durumlar olabilir; bu yüzden raporlar bir uzman tarafından doğrulanmalıdır.