Saltar al contenido
02 · Auditoría02 · Auditing

Pruebas Dinámicas de Aplicaciones (DAST / IAST)Dynamic Application Testing (DAST / IAST)

Análisis de la aplicación en ejecución, con y sin instrumentación.Analysis of the running application, with and without instrumentation.

DAST · IASTDAST · IAST 2.2 · Auditorías de Código y Configuración2.2 · Code and Configuration Audits

¿Qué es este servicio?What is this service?

Son pruebas automatizadas sobre la aplicación en ejecución. El análisis dinámico la ataca desde fuera como haría un atacante; el interactivo añade un agente dentro de la aplicación que observa qué pasa por dentro con cada petición.

Automated testing against the running application. Dynamic analysis attacks it from outside as an attacker would; interactive analysis adds an agent inside the application that observes what happens internally with each request.

¿Para qué se usa?What is it used for?

Permite cubrir el terreno entre auditorías manuales. Estas herramientas se integran en la tubería de despliegue y prueban en cada entrega, lo que detecta regresiones que un pentest semestral vería medio año tarde. No reemplazan la revisión manual: no entienden la lógica de negocio.

It covers the ground between manual audits. These tools plug into the deployment pipeline and test on every release, catching regressions a six-monthly penetration test would see half a year late. They do not replace manual review: they do not understand business logic.

Qué beneficios traeBenefits it delivers

  • Prueba en cada entrega sin costo humano por ejecución, que es lo que permite sostener la cadencia.
  • El análisis interactivo produce muchos menos falsos positivos que el dinámico solo, porque ve el interior.
  • Detecta regresiones: fallos que ya estaban corregidos y volvieron con un cambio.
  • Libera el tiempo de revisión manual para lo que de verdad requiere criterio.
  • Tests on every release with no human cost per run, which is what makes the cadence sustainable.
  • Interactive analysis produces far fewer false positives than dynamic alone, because it sees inside.
  • Detects regressions: flaws already fixed that came back with a change.
  • Frees manual review time for what genuinely requires judgement.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal específica en Costa Rica.
  • Contribuye a las medidas acordes al riesgo que exige la Ley 8968 cuando la aplicación trata datos personales.
  • There is no specific legal obligation in Costa Rica.
  • It contributes to the risk-appropriate measures Law 8968 requires when the application processes personal data.

InternacionalInternational

  • Ningún marco exige estas herramientas por nombre.
  • PCI-DSS, ISO 27001 y el RGPD sí exigen procesos de prueba y verificación periódica, y estas herramientas son una forma aceptada de sostenerlos.
  • Cuidado: el escaneo automatizado no sustituye el pentest que exige PCI-DSS en el requisito 11.4.
  • No framework requires these tools by name.
  • PCI-DSS, ISO 27001 and the GDPR do require testing and periodic verification processes, and these tools are an accepted way to sustain them.
  • A caution: automated scanning does not substitute the penetration test PCI-DSS requires in requirement 11.4.

Requisitos mínimosMinimum requirements

  • Un entorno de pruebas estable con datos representativos y credenciales de prueba.
  • Acceso a la tubería de integración continua para automatizar la ejecución.
  • Para el análisis interactivo, poder instalar un agente dentro de la aplicación.
  • Definir qué severidad detiene un despliegue, o la herramienta se convierte en ruido que todos ignoran.
  • A stable test environment with representative data and test credentials.
  • Access to the continuous integration pipeline to automate execution.
  • For interactive analysis, the ability to install an agent inside the application.
  • Defining which severity blocks a deployment, or the tool becomes noise everyone ignores.

Plazo típico de entregaTypical delivery time

2 a 5 semanas 2 to 5 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de dos a cinco semanas para dejarlo implantado, afinado e integrado en la tubería. La configuración inicial es rápida; lo que toma tiempo es el ajuste para bajar los falsos positivos a un nivel que el equipo de desarrollo acepte.

The usual market range runs from two to five weeks to get it deployed, tuned and integrated into the pipeline. Initial setup is quick; what takes time is tuning false positives down to a level the development team accepts.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

DASTDAST
Prueba dinámica: ataca la aplicación en ejecución desde fuera, sin ver su código. Dynamic testing: attacks the running application from outside, without seeing its code.
IASTIAST
Prueba interactiva: combina el ataque externo con un agente que observa la aplicación por dentro. Interactive testing: combines external attack with an agent observing the application internally.
CI/CDCI/CD
La tubería automatizada que construye, prueba y despliega el software. The automated pipeline that builds, tests and deploys software.
RegresiónRegression
Fallo que ya estaba corregido y reapareció con un cambio posterior. A flaw already fixed that reappeared through a later change.