Magic Quadrant for Application Security Testing 2022

Gartner 魔力象限：应用程序安全测试 2022

Magic Quadrant for Application Security Testing

Published 18 April 2022

魔力象限

现代应用程序设计和 DevSecOps 的加速采用正在扩大 AST 市场的范围。安全和风险管理领导者可以通过在软件交付生命周期中无缝集成和自动化 AST 来满足更紧迫的期限并测试更复杂的应用程序。

市场定义/描述：

Gartner 将应用程序安全测试 (AST) 市场定义为旨在分析和测试应用程序的安全漏洞的产品和服务的买家和卖家。这个市场是高度动态的，并且会随着不断变化的应用架构和支持技术而继续经历快速发展。
在此分析和供应商评估中，知识兔将继续增加对新兴技术和方法以及解决它们分享的新要求的 AST 工具的关注。总体而言，市场包括分享核心测试功能的工具——例如静态、动态和交互式测试；软件组成分析（SCA）；以及各种可选的专用功能。
AST 工具作为本地软件分享，或者更常见的是作为基于软件即服务 (SaaS) 的订阅产品分享。许多供应商分享这两种选择。核心功能分享基础测试功能，大多数组织使用一种或多种类型，包括：

静态 AST (SAST) 和 / 或测试阶段分析应用程序的源代码、字节码或二进制代码中的安全漏洞。的编程通常在软件开发生命周期 (SDLC)
动态 AST (DAST) 在测试或操作阶段分析处于运行（即动态）状态的应用程序。DAST 模拟针对应用程序的攻击（通常是支持 Web 的应用程序，但越来越多的应用程序编程接口 [API]），分析应用程序的反应，从而确定它是否易受攻击。
交互式 AST (IAST) 检测正在运行的应用程序（例如，通过 Java 虚拟机 [JVM] 或 .NET 公共语言运行时 [CLR]），并检查其操作以识别漏洞。大多数实现被认为是被动的，因为它们依赖于其他应用程序测试来创建活动。然后 IAST 工具进行评估。
SCA 用于识别应用程序中使用的开源组件，以及不太常见的商业组件。由此，可以识别已知的安全漏洞、潜在的许可问题和操作风险。

可选功能分享更专业的测试形式，通常根据组织的应用程序组合或应用程序安全程序成熟度来补充核心功能。他们包括：

API 测试：API 已成为工具现代应用程序（例如，单页或移动应用程序）的重要组成部分，但传统的 AST 集可能无法完全测试它们，从而导致需要专门的工具和功能。在开发和生产环境中发现 API 和测试 API 源代码的能力，以及摄取记录的流量或 API 定义以支持正在运行的 API 测试的能力，都是典型的功能。
应用程序安全编排和关联 (ASOC)：ASOC 工具通过自动化工作流程和处理结果来简化软件漏洞测试和修复。他们在开发生命周期和项目内和跨开发生命周期和项目进行自动化安全测试，同时从多个来源获取数据。ASOC 工具关联和分析调查结果以集中努力，以便更轻松地解释、分类和补救。它们充当应用程序开发和安全测试之间的管理和编排层。
关键业务 AST：在大型业务应用程序（例如 SAP、Oracle、Salesforce）的上下文中，识别应用程序代码中的漏洞（例如 ABAP 或其他供应商特定的定制语言），以及错误配置、已知漏洞和导致安全风险的错误。
容器安全：容器安全扫描检查容器镜像，或部署前完全实例化的容器，以发现安全问题。容器安全工具专注于各种任务，包括配置强化和漏洞评估任务。工具还会扫描是否存在机密信息，例如硬编码凭据或身份验证密钥。容器安全扫描工具可以作为应用程序部署过程的一部分运行，或者与容器存储库集成，因此可以在存储映像以备将来使用时执行安全评估。
开发人员支持：开发人员支持工具和功能支持开发人员和工程团队成员努力创建安全代码。这些工具主要侧重于安全培训和漏洞修复指导——以独立形式或集成到开发环境中。
模糊测试：模糊测试依赖于向程序分享随机、格式错误或意外的输入来识别潜在的安全漏洞——例如，应用程序崩溃或异常行为、内存泄漏或缓冲区溢出，或其他导致程序处于不确定状态的结果。模糊测试，有时称为非确定性测试，可用于大多数类型的程序，尽管它对依赖大量输入处理的系统（例如，Web 应用程序和服务、API）特别有用。
基础架构即代码 (IaC) 测试：Gartner 将 IaC 定义为软件定义计算 (SDC)、网络和存储基础架构作为源代码的创建、配置和配置。IaC 安全测试工具有助于确保符合常见的配置强化标准，识别与特定操作环境相关的安全问题，定位嵌入式机密，并执行支持组织特定标准和合规性要求的其他测试。
移动 AST (MAST)：这解决了与测试移动应用程序相关的特殊要求，例如在使用 iOS、Android 或其他操作系统的设备上运行的应用程序。这些工具通常使用经过优化的传统测试方法（例如，SAST 和 DAST），以支持通常用于开发移动和 / 或物联网 (IoT) 应用程序的语言和框架。他们还测试这些环境特有的漏洞和安全问题。

Gartner 继续观察到，AST 市场发展的主要驱动力是需要支持企业 DevSecOps 和云原生应用程序计划。客户需要能够分享高可靠性、高价值的发现，同时又不会不必要地减慢开发工作的产品。客户希望产品能够更早地融入开发过程，测试通常由开发人员而不是安全专家驱动。因此，该市场评估主要关注买方的需求，包括支持对各种应用程序类型的快速准确测试，能够以越来越自动化的方式集成到整个软件交付工作流程中。

gartner-magic-quadrant-ast-2022