IAST百科全书第1期：啥是IAST？

IAST全称Interactive Application Security Testing，交互式应用程序安全测试，一般也叫灰盒，是一种在应用和API中自动化识别和诊断软件漏洞的应用程序安全测试技术。

通过插桩技术（Instrumented）收集、监控 Web 应用程序运行时的函数执行、数据传输，并与服务端（server）进行实时交互，高效、准确地识别安全缺陷及漏洞，可准确确定漏洞所在的代码文件、行数、函数及参数。

在整个软件开发生命周期中，可以在开发与测试阶段中使用IAST工具。IAST良好的适用于敏捷开发和 DevSecOps ，在软件开发和测试阶段无缝集成现有开发流程，让开发人员和测试人员在执行功能测试时，实时、动态、同步进行漏洞检测， 可精确确定漏洞所在代码行，在无感知的情况下完成安全测试。

与IAST相似的产品主要有SAST白盒、DAST黑盒。

IAST能够在应用实际运行的过程中检测到漏洞，具备了黑盒中检测结果准确的特征；同时，IAST通过污点跟踪算法来进行漏洞检测，所以检测结果也具备了白盒的全面性特点。