DAST란?

위지웅·2026년 1월 27일

멀티캠퍼스IT부트캠프 부트캠프후기 토스뱅크 사이버보안 엔지니어 부트캠프(공격&방어 기술)

DAST란?

DevSecOps 관련해서 보다보면 SAST,DAST 이야기가 나온다. SAST는 알겠는데 DAST는 뭘까?

DAST(Dynamic Application Security Testing)는 애플리케이션이 실제로 실행 중인 상태에서, 공격자처럼 외부에서 요청을 보내며 취약점을 찾는 보안 테스트 방식이다. 소스코드를 읽어보는 대신, 런타임 동작·응답·에러·인증 흐름을 관찰하면서 SQLi, XSS, 인증/인가 문제, 설정 오류 같은 이슈를 찾아낸다. DAST는 outside-in 접근, 즉 블랙박스 테스트이다.

DAST를 왜 써야하는데?

현실의 공격은 배포된 서비스를 대상으로 발생한다. 개발자가 코드를 빠르게 바꾸고(의존성도 자주 바뀌고), 팀이 복잡한 시스템을 운영하는 환경에서는 “코드 수준에서 안전해 보이는가”만으로 충분하지 않다. DAST는 실제 실행 환경에서 공격을 시뮬레이션해, 운영 직전/운영 중에도 발견 가능한 취약점을 자동화된 방식으로 찾도록 돕는다.

SAST와 DAST를 함께 쓰면 “개발 단계의 빠른 피드백(shift-left)”과 “현실적 런타임 검증”이 연결되어, 보안이 단발성 점검이 아니라 지속적 피드백 루프가 된다(예: PR에서 SAST → 스테이징에서 DAST → 배포)

DAST의 장점과 한계

장점

언어/프레임워크에 덜 종속적: 외부에서 HTTP/API를 때리며 동작을 확인하므로, 내부 구현 언어가 달라도 적용이 쉽다.
현실적인 공격 재현: 실제 공격자 관점의 입력·흐름을 통해 취약점을 식별한다.
CI/CD 통합: 최신 DAST 도구는 DevOps·CI/CD에 통합되어 스테이징에서 자동 실행되는 형태로 많이 운용된다.

한계

DAST는 “실행 중인 기능”을 주로 보니, 아직 배포되지 않은 코드/경로는 놓칠 수 있다.
복잡한 인증/비즈니스 로직(다단계 플로우, 비표준 인증 등)에서 탐색 효율이 떨어질 수 있다.

AI DAST란?

기존 DAST가 주로 규칙/시그니처 기반 페이로드에 의존했다면, AI DAST는 애플리케이션의 반응을 학습해 새로운 우회 시나리오를 스스로 구성하고, 화면/기능 맥락(로그인/결제/관리자 등)을 파악해 더 깊게 탐색하려는 방향을 제시한다. 특히 여러 요청이 연결되는 복잡한 비즈니스 플로우에서 “B를 건너뛰고 C로 가면?” 같은 가설을 만들고 검증하는 식의 접근을 강조한다.

DAST 도구

OWASP ZAP (Zed Attack Proxy)

오픈소스 DAST이며 행 중인 웹앱에 페이로드를 주입해 취약점을 찾는 블랙박스(Outside-in) 방식

Burp Suite DAST

Burp Scanner 기반의 엔터프라이즈 자동 스캐닝(스케줄링/대규모 운영)
조직 단위로 여러 서비스/에이전트를 붙여 지속 스캔을 돌리는 데 초점

Invicti (formerly Netsparker)

웹 취약점 스캐너로 잘 알려진 DAST 기반 플랫폼
웹앱/웹자산이 많고, 스캔 결과를 운영 프로세스에 넣어 지속적으로 관리하려할 때 추천

Sparrow DAST

한국 상용 도구
실행 중인 웹 애플리케이션 + API를 대상으로 취약점을 동적으로(런타임에서) 분석하고, 해결 방안까지 제공하는 DAST 제품

Theori Xint

티오리에서 개발한 AI DAST

AI 기반 오탐 필터링 및 우선순위화: 머신러닝/AI가 탐지 결과를 후처리하여 오탐을 효과적으로 걸러내고, 실제 위험도와 비즈니스 임팩트를 반영한 우선순위를 제안
비즈니스 로직 심층 탐지: 실제 애플리케이션의 로직을 따라가 기존 DAST 툴이 놓치는 권한 상승 체인, 상태 기반 로직 우회 등 복잡한 취약점까지 탐지
PoC 자동 생성: 탐지 결과를 단순 리포트로 끝내지 않고, 실제로 취약점을 이용한 공격을 재현 가능한 코드를 자동으로 생성해 개발·검증·패치 작업에 즉시 활용할 수 있는 증거를 제공
안전 스캔 모드: 프로덕션 환경에서의 부작용을 최소화하도록 설계된 다양한 안전 옵션(트래픽 제한, 영향도 기반 스캔, 비파괴적 재현 등)을 제공하여 운영 중인 서비스에서도 안심하고 검사 가능