動的アプリケーションセキュリティテスト

動的アプリケーション セキュリティ テスト( DAST ) は、アプリケーションのセキュリティ上の弱点や脆弱性を特定するための非機能テスト プロセスです。このテスト プロセスは、手動で実行することも、自動化ツールを使用して実行することもできます。アプリケーションの手動評価では、自動化ツールでは検出されない可能性のあるセキュリティ上の欠陥を特定するために、人間の介入が必要になります。通常、ビジネス ロジック エラー、競合状態チェック、および特定のゼロデイ脆弱性は、手動評価でのみ特定できます。

一方、DASTツールは、Webアプリケーションの潜在的なセキュリティ脆弱性やアーキテクチャ上の弱点を特定するために、Webフロントエンドを介してWebアプリケーションと通信するプログラムです。^[1]ブラックボックステストを実行します。静的アプリケーションセキュリティテストツールとは異なり、DASTツールはソースコードにアクセスできないため、実際に攻撃を実行して 脆弱性を検出します。

DAST ツールを使用すると、ホスト名、クロール パラメータ、認証資格情報を設定するだけで、高度なスキャンを実行し、最小限のユーザー操作で脆弱性を検出できます。これらのツールは、クエリ文字列、ヘッダー、フラグメント、動詞 (GET/POST/PUT)、DOM インジェクションの脆弱性を検出しようとします。

DAST ツールは、セキュリティの脆弱性を発見することを明確な目的として Web アプリケーションの自動レビューを容易にし、さまざまな規制要件に準拠する必要があります。Web アプリケーション スキャナーは、入力/出力検証 (クロスサイト スクリプティングやSQL インジェクションなど)、特定のアプリケーションの問題、サーバー構成の間違いなど、さまざまな脆弱性を探すことができます。

商用スキャナーは、購入する必要がある Web 評価ツールのカテゴリです。一部のスキャナーには無料の機能が含まれていますが、ほとんどのスキャナーでは、ツールの機能をフルに活用するために購入する必要があります。

オープンソース スキャナーは、多くの場合、ユーザーにとって無料です。

これらのツールは、出荷前に最終リリース候補版の脆弱性を検出できます。スキャナは攻撃とプローブによって悪意のあるユーザーをシミュレートし、予想される結果セットの一部ではない結果を特定することで、現実的な攻撃シミュレーションを可能にします。 ^[2]この種のツールの大きな利点は、年間を通じてスキャンして脆弱性を常に検索できることです。定期的に新しい脆弱性が発見されるため、企業は脆弱性が悪用される前に発見して修正することができます。^[3]

動的テストツールであるWebスキャナーは言語に依存しません。Webアプリケーションスキャナーはエンジン駆動型Webアプリケーションをスキャンできます。攻撃者も同じツールを使用するため、ツールが脆弱性を見つけることができれば、攻撃者も脆弱性を見つけることができます。^[4]

DAST ツールでスキャンすると、データが上書きされたり、悪意のあるペイロードが対象サイトに挿入されたりする可能性があります。実稼働環境のデータを保護しながら正確な結果を確保するには、実稼働環境に似ているが実稼働環境ではない環境でサイトをスキャンする必要があります。

ツールは動的テスト方法を実装しているため、アプリケーションのソース コードとアプリケーション自体を 100% カバーすることはできません。侵入テスト担当者は、Web アプリケーションまたはその攻撃対象領域の範囲を調べて、ツールが正しく構成されているか、またはツールが Web アプリケーションを理解できたかを確認する必要があります。

ツールは、特定の脆弱性に対する攻撃のすべてのバリエーションを実装することはできません。そのため、ツールには通常、定義済みの攻撃リストがあり、テスト対象の Web アプリケーションに応じて攻撃ペイロードは生成されません。一部のツールでは、JavaScriptやFlashなどの動的コンテンツを含むアプリケーションの動作の理解がかなり制限されています。

• セキュリティテスト
• 静的アプリケーションセキュリティテスト
• インタラクティブなアプリケーションセキュリティテスト

• Web アプリケーション セキュリティ コンソーシアム (WASC) による Web アプリケーション セキュリティ スキャナの評価基準
• NISTが運営するWebアプリケーションスキャナ
• ロバート・オーガーによる自動ウェブアプリケーションセキュリティ評価が直面する課題
• WASC セキュリティ スキャナー リスト