У команд безопасности уже есть длинные очереди потенциальных уязвимостей в приложениях. Полезный вопрос заключается в том, что происходит дальше: могут ли они увидеть, как уязвимость ведет себя в работающем приложении, воспроизвести атаку и предоставить разработчикам достаточно доказательств для ее устранения?
Динамическое тестирование безопасности приложений (DAST) помогает ответить на эти вопросы, тестируя приложения так, как с ними сталкивается злоумышленник. IDC MarketScape: Worldwide Dynamic Application Security Testing 2026 Vendor Assessment (Док. №US54119126, сентябрь 2026 г.). IDC MarketScape оценила 16 вендоров и назвала Rapid7 Лидером.
Мы считаем, что этот результат отражает надежность возможностей Rapid7 в области DAST, но отчет IDC MarketScape также дает полезное представление о том, куда движется эта категория. DAST вышла за рамки традиционного веб-сканирования и превратилась в источник данных о выполнении в реальном времени, который помогает организациям оценивать риски на уровне приложений.
От возможной уязвимости к подтвержденному риску приложения
Анализ кода и сканирование зависимостей помогают командам выявлять уязвимости до развертывания приложения. DAST предоставляет другую перспективу, взаимодействуя со смонтированным приложением во время его работы. Это позволяет увидеть, что происходит при поступлении определенного запроса в приложение, как оно реагирует и можно ли воспроизвести предполагаемую уязвимость.
Это особенно ценно для API и приложений на базе ИИ, где риск может возникать в результате взаимодействия между моделями, промптами, данными, инструментами и разрешениями. Некоторое такое поведение невозможно полностью понять по исходному коду или манифесту зависимостей. Оно становится заметным, когда приложение запускается в условиях выполнения.
Таким образом, DAST играет непосредственную роль в непрерывном управлении воздействием угроз (CTEM). Обнаружение дает командам представление об их активах и возможных уязвимостях, но само по себе это представление не говорит им, на чем сосредоточиться. Проверка помогает сузить круг задач, показывая, какие уязвимости могут быть достигнуты или использованы, и предоставляя доказательства, которые команды могут использовать для принятия мер.
Для Rapid7 DAST — это управление воздействием, применяемое к уровню приложений. Веб-приложения, API и конечные точки на базе ИИ являются частью поверхности атаки, поэтому их необходимо обнаруживать, тестировать, расставлять приоритеты и управлять ими наряду с инфраструктурой, облаком и другими типами подверженности угрозам.
Почему мы считаем, что Rapid7 была названа Лидером по версии IDC
Решение Rapid7 DAST поставляется в составе портфолио Exposure Command. Его механизм сканирования создает карту приложения, выполняет атаки по обнаруженным путям и подтверждает выявленные уязвимости. Команды безопасности могут охватить широкую область приложения, ограничивая активные атаки соответствующим набором путей, что дает им контроль над проведением тестирования.
Результаты проверяются по телеметрии Rapid7, чтобы помочь определить, какие проблемы требуют более пристального внимания. Когда требуется принять меры по найденной проблеме, воспроизведение на основе браузера повторяет исходный запрос, запрос атаки и вызывающий ее ответ. Разработчики получают готовые свидетельства, с которыми можно работать, а не проблему, которую сначала нужно доказывать.
Поддержание аутентифицированного сканирования может быть сложной задачей в меняющемся портфолио приложений, а сбой в последовательности входа может оставить важные области без тестирования. Решение Rapid7 может определить затронутый шаг и поддержать целевое обновление без необходимости повторной записи всей последовательности.
Связь с Surface Command добавляет еще один полезный слой. Недавно обнаруженные внешние активы могут быть выведены на уровень тестирования приложений, помогая командам сократить разрыв между обнаружением приложения и пониманием связанных с ним рисков.
DAST играет ключевую роль в Exposure Command, обеспечивая валидацию на уровне приложений, необходимую командам для приоритизации рисков и перехода от обнаружения к устранению.
