Dynamic ApplicationSecurity Testing.
DAST prüft eine laufende Webanwendung oder API von aussen und sucht nach ausnutzbaren Fehlern im tatsächlich bereitgestellten System. Der Scanner sieht keinen vollständigen Quellcode und benötigt für authentisierte Bereiche belastbare Login-, Session- und Testdaten.
Marktbild: hohe Priorität für öffentlich erreichbare Webanwendungen und APIs. Der Markt ist breit, mit Enterprise-Suiten, developer-nahen SaaS-Angeboten und Open Source. Verglichen werden zwölf Werkzeuge und Plattformen.
Die laufende Anwendung prüfen.
DAST erkennt unter anderem Eingabevalidierungsfehler, unsichere Serverkonfigurationen und Schwächen, die erst durch das Zusammenspiel der Anwendung sichtbar werden. Scans müssen auf autorisierte Ziele und sichere Testintensität begrenzt sein.
Entscheidend sind Crawling, moderne JavaScript-Anwendungen, Multi-Step-Logins, API-Schemata, Rollenwechsel und reproduzierbare Requests. Ohne stabile Authentisierung bleibt ein grosser Teil der Anwendung ungetestet.
Plattformen im Vergleich.
| Produkt | Ansatz | Geeignet für | Stärke | Vor Auswahl prüfen |
|---|---|---|---|---|
| Invicti DAST | Enterprise DAST | Grosse Webportfolios | Automatisierung, Discovery und Verifikation | Authentisierung, Scanzeit und Integrationen |
| Burp Suite Enterprise Edition | Automatisiertes DAST | Teams mit Burp-Know-how | Web-Scanning im Burp-Ökosystem | API-Abdeckung, Login-Sequenzen und Skalierung |
| HCL AppScan | AppSec-Suite mit DAST | Enterprise und regulierte Umgebungen | DAST neben SAST, IAST und SCA | Produktvariante, Bereitstellung und Bedienaufwand |
| OpenText Fortify WebInspect | Enterprise DAST | Fortify- und On-Premises-Umgebungen | Tiefe dynamische Webanalyse | Scanbetrieb, Infrastruktur und CI/CD-Integration |
| Rapid7 InsightAppSec | Cloud DAST | Rapid7- und Web-App-Portfolios | DAST mit Attack-Replay und Plattformbezug | Authentisierung und API-Funktionsumfang |
| Checkmarx DAST | AppSec-Plattform | DevSecOps und Checkmarx-Kunden | DAST im integrierten Application-Security-Workflow | Produktreife im eigenen Technologie-Stack |
| Acunetix | Web Vulnerability Scanner | KMU und Webportfolios | Automatisiertes Web- und API-Scanning | Abgrenzung und Produktbeziehung zu Invicti |
| OWASP ZAP | Open Source DAST | Teams mit Eigenintegration | Transparente Automatisierung und grosse Community | Regelpflege, Authentisierung und zentraler Betrieb |
| StackHawk | Developer-first DAST | CI/CD und moderne APIs | Scans nahe an Entwicklung und Pipeline | Enterprise-Portfoliosicht und komplexe Logins |
| Bright Security DAST | Developer-centric DAST | Agile Entwicklung und APIs | Frühe dynamische Tests mit CI/CD-Fokus | Scanabdeckung und produktive Testgrenzen |
| Detectify Application Scanning | External SaaS DAST | Internet-exponierte Anwendungen | Cloudbasierter Scan mit Security-Research-Bezug | Authentisierte Tiefe und interne Anwendungen |
| Probely | Web- und API-DAST | DevSecOps und SaaS | Automatisierung und entwicklernahe Findings | Rollen, Login-Flows und Enterprise-Governance |
- Der Scanner meldet Erfolg, obwohl die Anmeldung abgelaufen und nur die Login-Seite geprüft wurde.
- Produktive Scans erzeugen Daten, Bestellungen oder unerwünschte Last.
- Duplikate aus DAST, SAST und Bug-Bounty landen ohne gemeinsame Zuordnung im Backlog.
Teste eine moderne Webanwendung mit zwei Rollen, einen Multi-Step-Login, eine API-Spezifikation und einen absichtlich eingebauten Befund. Bewerte Reproduzierbarkeit, sichere Scansteuerung und Rückgabe an das Entwicklungsteam.
Security Tool Navigator · Gebiet 07
Im Gebiet Application und Product Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Application und Product Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.