Interactive ApplicationSecurity Testing.
IAST beobachtet eine laufende Anwendung von innen, während Tests oder reale Transaktionen Codepfade ausführen. Die Instrumentierung verbindet Request, Datenfluss und betroffene Codezeile. Damit entstehen meist präzisere Befunde als bei einer rein externen Prüfung, aber nur für tatsächlich ausgeführte und technisch unterstützte Pfade.
Marktbild: hohe fachliche Tiefe, aber ein kleiner und konzentrierter Markt. Sechs Plattformen werden verglichen. Zwei davon gehören zur selben Anbietergruppe und adressieren unterschiedliche Portfoliogrössen.
Ausführung in Befund übersetzen.
IAST passt zu Integrations-, System- und Regressionstests, wenn Testfälle wesentliche Funktionen und Rollen tatsächlich durchlaufen. Der Sensor erkennt, ob unkontrollierte Eingaben gefährliche Senken erreichen und zeigt den verursachenden Codekontext.
Prüfe unterstützte Sprachen, Frameworks und Laufzeiten, Agentenbetrieb in Containern, Testabdeckung, Performance-Effekt, Maskierung sensitiver Werte sowie die Übergabe reproduzierbarer Befunde an Entwicklung und Ticketing.
Ein schmaler Spezialmarkt.
| Plattform | Schwerpunkt | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| Contrast Assess | Kontinuierliches agentenbasiertes IAST | Code-, Datenfluss- und Route-Kontext | Java, .NET und weitere unterstützte Laufzeiten | Frameworkabdeckung und Agenten-Overhead |
| Black Duck Seeker | IAST mit aktiver Verifikation | Sensitive-Data-Tracking und Webtest-Integration | Enterprise-Webanwendungen und APIs | Unterstützte Technologien und Testwerkzeuge |
| HCL AppScan IAST | Interactive Monitoring in AppScan | Einbettung in eine breite AST-Suite | Bestehende AppScan-Programme | Agent, Edition und Cloud- oder Eigenbetrieb |
| Invicti IAST | IAST im DAST-Workflow | Bestätigung dynamischer Befunde | Grosse Webportfolios | Sprachabdeckung und Kopplung an Invicti DAST |
| Acunetix IAST | IAST für Webscanning | Pragmatische Verbindung mit Acunetix | Kleinere und mittlere Webportfolios | Gleiche Anbietergruppe wie Invicti und Funktionsgrenzen |
| Waratek | Runtime-Instrumentierung für IAST und Schutz | Compilerbasierter Java-Fokus | Java-Anwendungen mit Runtime-Anforderungen | Technologiebreite und Betriebsmodell |
Instrumentieren,
wo getestet wird.
- Agenten über Basis-Image oder Deployment-Vorlage in Test- und Staging-Umgebungen ausrollen, nicht manuell je Server; Agentenversionen wie Abhängigkeiten pflegen.
- Vor dem ersten Lauf die Maskierung festlegen: Passwörter, Tokens und Personendaten dürfen nicht im Klartext an die Plattform gehen.
- Nicht abgedeckte Routen aus dem Coverage-Bericht gezielt an Testautomation, DAST oder manuelle Prüfung übergeben.
- Befunde mit SAST- und DAST-Ergebnissen abgleichen, Duplikate zusammenführen und nur bestätigte, ausnutzbare Funde als Release-Blocker setzen.
- Anteil der Routen einer Anwendung, die während der Testläufe ausgeführt wurden
- Mittlere Zeit vom IAST-Befund bis zur Korrektur je Schweregrad
- Anteil Befunde, die die Entwicklung ohne Rückfrage reproduzieren kann
Produktteams verantworten Testabdeckung und Korrektur. Das Plattformteam betreibt Agenten und Integration, Application Security legt Regeln, Maskierung und Release-Kriterien fest.
ISO/IEC 27001:2022 Annex A 8.29 (Sicherheitstests in Entwicklung und Abnahme) und 8.33 (Testinformationen); Letztere ist relevant, weil der Agent reale Werte aus Requests erfassen kann.
Der Cyber Resilience Act verlangt von Herstellern ab 11.12.2027 wirksame und regelmässige Sicherheitstests (Anhang I Teil II Nr. 3); IAST kann dafür Belege liefern, ersetzt aber keine Konformitätsbewertung.
Präzise heisst nicht fehlerfrei. Eigene Validierungs- oder Bereinigungsfunktionen erkennt der Agent ohne Konfiguration oft nicht als Schutz und meldet dann einen Datenfluss als verwundbar, der tatsächlich abgesichert ist.
- Nicht ausgeführte Routen erscheinen fälschlich als geprüft.
- Ein inkompatibler Agent verändert Laufzeit oder Stabilität.
- Testdaten und Payloads gelangen ungefiltert in die Plattform.
Instrumentiere eine repräsentative Anwendung in der Testumgebung. Miss Route Coverage, korrekte Codezuordnung, Fehlalarme, Laufzeiteffekt und die Zeit vom Befund bis zum reproduzierbaren Fix.
Security Tool Navigator · Gebiet 07
Im Gebiet Application und Product Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Application und Product Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.