DAST in CICD

Définition

DAST in CICD (Dynamic Application Security Testing intégré dans les pipelines CI/CD) désigne l'exécution automatisée de tests de sécurité dynamiques dans les pipelines d'intégration et de livraison continues, en complément des tests statiques (SAST). Contrairement au DAST traditionnel exécuté manuellement par des équipes de sécurité en mode "big bang" avant la mise en production, le DAST in CICD est exécuté de manière incrémentale et automatisée, idéalement à chaque déploiement en environnement de staging. L'intégration du DAST dans les pipelines CI/CD pose des défis spécifiques. La durée : les scans DAST complets peuvent prendre des heures, incompatible avec des pipelines CI attendant des feedback en moins de 15 minutes. La nécessité d'un environnement déployé : contrairement au SAST qui analyse le code source, le DAST nécessite une application en cours d'exécution, accessible via HTTP/HTTPS. L'authentification : le scanner DAST doit être configuré pour s'authentifier à l'application et accéder aux fonctionnalités protégées. Et les faux positifs : les scans DAST génèrent des alertes sur des patterns qui peuvent être légitimes dans certains contextes. Les patterns d'intégration DAST in CICD les plus efficaces combinent : un Baseline Scan (scan passif rapide — OWASP ZAP Baseline via Docker, 2-5 minutes) déclenché sur chaque PR pour une détection légère sans impact sur la durée du pipeline, complété par un Full Scan actif plus complet (20-60 minutes via ZAP ou Burp Suite Enterprise) déclenché sur les branches de release ou nuitamment. Cette approche "deux vitesses" garantit un feedback rapide pour les développeurs tout en maintenant une couverture DAST complète à chaque release. Des outils DAST orientés CI/CD incluent : OWASP ZAP (via Docker — zap-baseline.py, zap-api-scan.py), Burp Suite Enterprise Edition (API REST pilotable depuis les pipelines CI), Nuclei (scanner de templates de vulnérabilités extrêmement rapide), StackHawk (DAST orienté CI/CD avec intégration GitHub Actions native), et Detectify (DAST as a Service avec intégration CI).