IAST・RASPとは？IASTとRASPの違い、3つの種類、対応言語と選び方

IAST・RASPとは

IASTは、アプリの中に入れた仕組みが、テストや通常の通信で流れたデータとコードの動きを見て、脆弱性を見つける製品です。RASPは、同じようにアプリの中で動きを見て、攻撃を止める製品です。

比較ページには、自社で開発・提供する会社の製品を載せています。他社の製品を売る会社と、公式ページで日本法人を確かめられなかった会社は除きました。

3つの種類

• テストで見つける型（IAST）：テストや通常の通信の裏で動いて、脆弱性を見つけます。例はSeeker IAST、Datadog Runtime Code Analysis、New Relic IASTです
• 本番で止める型（RASP）：本番のアプリの中や手前で攻撃を見分けて止めます。例はDatadog App & API Protection、Dynatrace Runtime Application Protection、Splunk AppDynamics Secure Applicationです
• アプリに組み込む型：配るアプリに守りを入れ、利用者の端末で解析や改ざんを止めます。例はCrackProof、NHN AppGuardです

SAST、DAST、WAFとの違い

• SASTはソースコードを調べます。動かさなくても使えますが、実際に流れたデータは見ません
• DASTは動いているアプリを外から試します。中のコードのどこが悪いかは見えません
• WAFはアプリの手前で通信を見ます。RASPはアプリの中でコードの動きを見ます
• IASTはテストで通った部分しか見えないので、SASTと一緒に使います

対応言語の確かめ方

• Datadog Runtime Code Analysisは、Java、.NET、Node.js、Pythonで使えます
• New Relic IASTは、Go、Java、Node.js、Rubyのエージェントで使えます
• Dynatrace Runtime Application Protectionは、Java、.NET、Goで攻撃を検知します
• Splunk AppDynamics Secure Applicationは、Javaと.NETのエージェントで動き、ポリシーごとに無視、検出、ブロックを選べます
• Seeker IASTの言語は、確かめた公式ページに書かれていないので、問い合わせます

導入の手間

• 監視の製品をすでに使っていれば、そのエージェントやライブラリの設定で始められます
• CrackProofは、完成したアプリをクラウドに上げて保護します。iOSはXcodeでライブラリをリンクしてから上げます
• NHN AppGuardは、SDK連携が任意で、ConsoleかCLIでアプリを保護します

本番で止める前に

• 最初は検知だけで動かして、誤って止める通信がないか確かめます
• アプリの応答の遅れは、公式資料に数字がありません。検証環境で測ってから本番に入れます
• 端末に組み込む型は、サーバー側の攻撃を止めません。WAFなどと分けて考えます