IAST (Interactive Application Security Testing)

Définition

L'IAST (Interactive Application Security Testing) est une approche de test de sécurité des applications qui combine les avantages du SAST (analyse statique) et du DAST (analyse dynamique) en instrumentant directement l'application lors de son exécution. Contrairement au DAST qui observe l'application de l'extérieur via des requêtes HTTP, l'IAST implante un agent logiciel à l'intérieur du runtime de l'application (JVM, CLR, Node.js runtime) qui surveille le comportement interne en temps réel. Le principe de l'IAST repose sur un agent de bytecode instrumentation (pour Java/.NET) ou un hook de runtime (pour d'autres langages) qui intercepte les appels de méthodes critiques : accès aux APIs HTTP, requêtes base de données, appels système, opérations sur les fichiers. Cet agent maintient un graphe de flux de données en mémoire et détecte les vulnérabilités quand des données non fiables atteignent des sinks dangereux, similairement à la Taint Analysis SAST mais à l'exécution réelle. L'avantage fondamental de l'IAST est la précision : en observant le comportement réel plutôt que le code théorique, il élimine la plupart des faux positifs. Si une donnée tainted atteint réellement un sink SQL lors d'un test, c'est une vraie vulnérabilité. L'IAST peut aussi détecter des vulnérabilités de configuration, de dépendances tierces, et de logique applicative que le SAST ne peut pas identifier. Le taux de faux positifs de l'IAST est typiquement inférieur à 5%, contre 20-50% pour le SAST non tuné. L'IAST s'intègre naturellement dans les environnements de test automatisés : les agents IAST sont déployés dans les environnements de test CI/CD, et les tests fonctionnels existants (Selenium, Cypress, JUnit, pytest) génèrent automatiquement des résultats de sécurité. Cette approche "security for free" avec les tests existants est très attractive pour les équipes disposant de bonnes suites de tests. Les principaux outils IAST du marché incluent Contrast Security, Seeker (Synopsys), HCL AppScan IAST, et Hdiv Security. La couverture de l'IAST dépend de la couverture des tests fonctionnels : les chemins de code non testés restent invisibles.