Erhöhung der Abdeckung von Anwendungssicherheitstests (Application Security Testing, AST) ohne Änderung des Softwareentwicklungslebenszyklus (Software Development Lifecycle, SDLC)

Ein bedeutender Vorteil, den die Entwickler sofort meldeten, war die Menge an Informationen, die die Schwachstellen enthielten. Wenn die Codezeile, die das Problem verursacht hat, zusammen mit einem Beispiel für einen auslösenden Exploit zur Verfügung steht, wird der Aufwand für die Behebung erheblich reduziert. Da der QA-Prozess an den Entwicklungsprozess grenzt, sind die Codeänderungen, die zu neuen Sicherheitsschwachstellen geführt haben, den Entwicklern noch frisch im Gedächtnis, wenn sie sich an die Behebung der Sicherheitsprobleme machen.

Ein weiterer Vorteil, den das Sicherheitsteam berichtete, war die geringere Zahl der beim DAST-Scannen festgestellten Probleme, da die Probleme dank QS-Prozess früher im SDLC gelöst werden.

Mit Blick auf die Wartung waren die Sicherheits- und DevOps-Teams beeindruckt, da die Integration des IAST-Agenten nur ein einziges, einfaches Skript erfordert und der Agent selbst immer wieder aktualisiert wird. Sehr positiv ist auch, dass das QA-Team für jede neu entwickelte Funktionalität neue Tests hinzufügen kann und so die AST-Abdeckung mit jeder neuen Version auf dem neuesten Stand hält. Der Prozess verbessert sich als Nebenprodukt des SDLC ständig selbst.