Alvos
Um destino é o URL de um aplicativo Web, site ou API.
Um alvo define o escopo da verificação.
O que é um alvo DAST?
Um alvo ADAST é o ponto de entrada específico (URL ou endpoint) de um aplicativo web, site, API ou qualquer componente que aceite entrada do mundo externo. Ele define o escopo, ou limites, da verificação de segurança conduzida por uma ferramenta DAST, limitando a ferramenta a analisar apenas as páginas, links ou formulários dentro do domínio do alvo.
Por exemplo, com um destino https://example.com, a verificação cobriria https://example.com/app1, mas não https://app2.example.com. Essencialmente, o scanner examina URLs que começam com “example.com”.
Exemplos de alvos DAST:
URLs: estes são os alvos mais comuns, representando páginas da web ou seções individuais dentro de um aplicativo:
https://www.example.com: domínio de nível superior que hospeda o aplicativo
https://example.com/blog: subpasta ou subseção dentro do aplicativo
https://admin.example.com: subdomínio que hospeda um aplicativo separado
APIs: os aplicativos geralmente usam APIs para comunicação, e o DAST pode identificar vulnerabilidades como acesso não autorizado ou vazamento de dados:
https://api.us.example.com: API interna hospedada em um subdomínio
https://api.eu.example.com: instância de API separada hospedada de forma independente
Formulários: o DAST pode avaliar a segurança de formulários de login, páginas de registro e outros campos de entrada contra ataques como injeção de SQL ou scripts entre sites:
https://example.com/login: formulário de login no domínio de nível superior
https://checkout.example.com: formulário de checkout e pagamento hospedado em um subdomínio
O que NÃO é um alvo DAST:
Ativos Vantico: Ativos no Vantico não são sinônimos de metas. Um ativo geralmente é um aplicativo inteiro, composto por vários sistemas internos e de terceiros, APIs e outros componentes. As ferramentas DAST não analisam uma base de código inteira, mas concentram-se apenas nas partes que aceitam entradas externas. Esses componentes, que residem em um URL exclusivo (ou seja, exemplo.com, app.example.com e api.example.com), constituiriam, cada um, um alvo individual.
Servidores ou redes: embora os aplicativos sejam executados em servidores e interajam com redes, as ferramentas DAST normalmente não testam diretamente esses aspectos.
Código fonte: o DAST analisa o comportamento do aplicativo, não o código em si. Esse é o domínio do Static Application Security Testing (SAST).
Aplicativos de terceiros: aplicativos externos nos quais os clientes não têm aprovação para executar verificações ou testes.
Um alvo DAST claro e bem definido garante que a verificação se concentre nas áreas específicas de um aplicativo mais suscetíveis a ameaças externas.
Configurando um alvo
Existem algumas opções de configuração disponíveis ao configurar alvos.
Destinos autenticados: você pode ver uma explicação detalhada em Autenticação.
URLs evitados: as verificações funcionam rastreando e descobrindo novos URLs em seu aplicativo. Se quiser reduzir o escopo da verificação para evitar a verificação de determinadas partes do aplicativo, você pode adicioná-las aos URLs evitados. Estes são exemplos válidos para URLs evitados:
Caminhos iniciais: de maneira semelhante, uma varredura geralmente começa a partir do URL de destino. Às vezes, existem algumas páginas que não podem ser acessadas a partir daí. Se quiser adicionar alguns pontos de partida extras para a varredura, você pode usar caminhos iniciais. Observe que apenas caminhos relativos são permitidos e os URLs evitados têm precedência. Este é um exemplo válido:
Last updated