一、前言
携程信息安全部门目前在研究百度OpenRASP技术，让它在携程落地进行服务漏洞扫描防护。做安全漏洞测试的同学都知道，用类似黑盒测试工具测试服务漏洞的时候，在测试服务接口的请求上做参数注入的修改，会污染测试服务的数据源，OpenRASP技术也不例外。
本文主要讲述我们IAST漏洞扫描系统中OpenRASP在携程快速部署及如何防止流量重放对数据污染的一系列实践经验。让业务部门无感知地发现他们的服务在测试环境中暴露的漏洞。
这里先简单介绍下什么是IAST，DAST和RASP。
IAST：Interactive Application Security Testing，交互式应用安全测试。近实时检测、误报率极低、可定位到代码行数、展示污点调用过程等等，非常适用于敏捷开发和DevOps理念。可以在软件的开发和测试阶段无缝集成现有开发流程，让开发人员和测试人员在执行功能测试的同时，无感知的完成安全测试，解决了现有应用安全测试技术面临的挑战。我们该套IAST产品中也会尽力体现污点调用过程，偏向代码层。
DAST：Dynamic Application Security Testing，动态应用程序安全测试。在测试或运行阶段分析应用程序的动态运行状态。它模拟黑客行为对应用程序进行动态攻击，分析应用程序的反应，从而确定该Web应用是否易受攻击。这种技术主要采用渗透测试，发现应用系统的潜在风险。
原文链接:【https://www.infoq.cn/article/Fb4q6drDwN6xICAS41ww】。未经作者许可，禁止转载。