Construire le pont entre le développement et AppSec

By Parasoft • October 28, 2021 • 2 min de lecture

Votre équipe de développement est-elle gênée par les revues AppSec de la « Red Team » qui retardent la livraison ou le déploiement en raison de rejets et de retouches apparemment sans fin en raison d'audits de sécurité ratés ?

Parasoft a une solution pour le paradigme Nous contre Eux qui prévaut aujourd'hui dans de nombreuses organisations. Notre nouveau test dynamique de sécurité des applications (DAST) l'offre s'intègre de manière transparente Parasoft SOAtest avec OWASP ZAP pour fournir à vos tests fonctionnels actuels des tests d'intrusion, y compris le fuzzing.

Livre blanc : Guide de la sécurité des API

Téléchargez

Bien sûr, certaines équipes de développement peuvent adopter une position selon laquelle la sécurité n'est pas leur métier. Mais la sécurité doit être la préoccupation de tous, à chaque étape du cycle de vie du développement logiciel. Si le code issu du développement ne passe pas les tests de sécurité applicatifs et est renvoyé au développement pour correction, il devient rapidement la responsabilité du développement.

Ne pouvons-nous pas tous nous entendre?

Pour créer une harmonie dans cette situation, Parasoft a rendu encore plus facile le passage à gauche des tests des principaux risques de sécurité. Les équipes peuvent ajouter des tests de sécurité API aux suites de tests existantes en quelques clics. Lorsque l'équipe de développement exécute les tests fonctionnels de l'API, elle peut également réutiliser les mêmes tests pour les tests de sécurité de l'API. Un rapport codé par couleur résumera les résultats afin que les développeurs puissent résoudre les défauts.

Test de sécurité de l'API Shift Left

Dans le bien connu oeuvre de Capers Jones En 1996, il a quantifié l'augmentation des coûts de réparation des défauts aux dernières étapes du cycle de développement logiciel. Cette recherche est toujours d'actualité, mais les équipes y parviennent plus rapidement grâce à Agile. C'est de là que vient le terme « shift left », qui désigne les équipes de développement logiciel cherchant à prévenir et à réparer les défauts plus tôt dans le cycle, là où leur coût est bien moindre.

Graphique montrant le pourcentage de défauts sur l'axe x et les étapes de SDLC sur l'axe y. Les coûts augmentent pour corriger les défauts au fur et à mesure que les étapes progressent vers la publication.

Encouragez votre organisation à adopter l'approche décalée vers la gauche pour les tests de sécurité des API afin de donner aux équipes de développement la possibilité de détecter et de résoudre les risques de sécurité pendant la phase de développement. Lorsque les équipes AppSec ou DevSecOps effectuent des tests de sécurité et de pénétration, les testeurs de stylet peuvent tirer parti de Parasoft Outil de test de sécurité API pour tester la fonctionnalité de l'API. Voici comment:

Utilisez la suite de tests API actuelle pour les tests fonctionnels et de sécurité avec la nouvelle intégration DAST.
Si une suite de tests d'API n'existe pas encore, utilisez le générateur de tests d'API intelligents de Parasoft SOAtest pour créer de nouveaux tests rapidement et facilement.
Les équipes utilisant déjà OWASP ZAP peuvent également réutiliser les politiques des déploiements existants, même personnalisés.

Quelle que soit la manière dont les équipes utilisent la solution de sécurité API Parasoft, elles peuvent facilement tirer parti des tests fonctionnels API pour les tests de sécurité API et augmenter la couverture globale des tests d'application.

Quelle que soit la situation, la solution DAST de Parasoft est idéale. Regardez la vidéo de démonstration des tests de sécurité des API pour voir à quel point il est facile d'ajouter des tests de pénétration de la sécurité des API aux tests fonctionnels existants.