DAST: testes dinâmicos de segurança que encontram o que o SAST não vê

Por que SAST não é suficiente

SAST analisa o código-fonte — não consegue detectar problemas que só se manifestam em execução: misconfigurações de servidor, headers de segurança ausentes, fluxos de autenticação com falhas na implementação ou injeções em queries construídas dinamicamente em runtime. DAST preenche essa lacuna testando a aplicação como um atacante externo.

Como DAST funciona

Um scanner DAST faz requisições HTTP para a aplicação em execução — de forma automatizada — tentando explorar vulnerabilidades conhecidas: SQL injection, XSS, command injection, SSRF, autenticação quebrada, exposição de informações sensíveis. O scanner não tem acesso ao código-fonte — vê apenas o que um atacante externo veria.

OWASP ZAP: o padrão open source

• Active scan — testa ativamente a aplicação com payloads de ataque em cada endpoint
• Passive scan — analisa o tráfego sem enviar payloads ativos — útil para produção com menor risco
• API scan — importa uma especificação OpenAPI e testa todos os endpoints definidos
• CI integration — executa como parte do pipeline de staging antes da promoção para produção

Burp Suite para análises mais profundas

Para análises manuais e pentests, Burp Suite Professional oferece ferramentas avançadas: Intruder para fuzzing automatizado, Repeater para testes manuais, Scanner para análise automatizada e extensões para automação customizada. É a ferramenta de pentest de aplicação web mais usada no mercado.

Integrando DAST ao pipeline sem travar o CI

DAST ativo é lento (pode levar horas em aplicações grandes). A estratégia pragmática: DAST passivo em staging (monitora o tráfego sem interromper), DAST ativo em ambiente dedicado em horário off-peak, e scan periódico manual em endpoints críticos.