Erhöhung der Abdeckung von Anwendungssicherheitstests (Application Security Testing, AST) ohne Änderung des Softwareentwicklungslebenszyklus (Software Development Lifecycle, SDLC)

Ein bedeutender Vorteil, den die Entwickler sofort meldeten, war die Fülle an Informationen, die die Schwachstellen enthielten. Wenn die Codezeile, die das Problem verursacht hat, zusammen mit einem Beispiel für einen auslösenden Exploit zur Verfügung steht, wird der Aufwand für die Behebung erheblich reduziert. Da der QA-Prozess eng an den Entwicklungsprozess angrenzt, sind den Entwicklern die Codeänderungen, die zu neuen Sicherheitsschwachstellen geführt haben, noch frisch im Gedächtnis, wenn sie sich an die Behebung der Probleme machen.

Ein weiterer Vorteil, den das Sicherheitsteam berichtete, war die geringere Anzahl der beim DAST-Scannen festgestellten Probleme, da viele Schwachstellen dank des früheren Eingreifens im QS-Prozess bereits im SDLC gelöst werden.

Mit Blick auf die Wartung zeigten sich die Sicherheits- und DevOps-Teams beeindruckt, da die Integration des IAST-Agenten lediglich ein einfaches Skript erfordert und der Agent selbst kontinuierlich aktualisiert wird. Sehr positiv ist auch, dass das QA-Team für jede neu entwickelte Funktionalität Tests hinzufügen kann, um die AST-Abdeckung mit jeder neuen Version aktuell zu halten. Der Prozess verbessert sich so als Nebenprodukt des SDLC ständig selbst.