課荘芙曝

僥び２�坤汽ぅ乂`セキュリティは械に仝繁々が駅勣です

仝Software Vulnerability Snapshot�┘愁侫肇ΕД�巌樋來スナップショット��々レポ�`トを恬撹するために、シノプシスのCybersecurity Research Center��CyRC��の冩梢宀は、シノプシスのAST サ�`ビスによってテストされた斌喘ソフトウェア システムとアプリケ�`ションから誼られた停兆晒されたデ�`タを�{�砲靴泙靴拭�書定のレポ�`トには、2,700 の���鵐愁侫肇ΕД△肇轡好謄爐���して�g仏された 4,000 參貧のテストのデ�`タも根まれていますが、ほとんどのテストは、ペネトレ�`ションテスト、�啜張▲廛螢羽`ション?セキュリティ?テスト��DAST��、そしてモバイル?アプリケ�`ション?セキュリティ?テスト��MAST��を根む、盃秘侏の仝ブラックボックス々および仝グレ�`ボックス々テストでした。

また、ASTサ�`ビスで�g仏したテストの 64% はペネトレ�`ションテストでした。これは、アプリケ�`ションまたはシステムのセキュリティを�u��するために�O��されたシミュレ�`トされた好�弔如▲愁侫肇ΕД△臨扈K�_�k粁�Aまたはデプロイ瘁に�g佩�rの巌樋來を��つけて俐屎することができます。しかし、ペネトレ�`ションテストは仝繁議リソ�`ス々が駅勣です。なぜなら、 徭�啝�されたテストツ�`ルでは���gに�奮�できない匯何の巌樋來を、���T岑�Rと噴蛍な�U�Yを嗤する仝繁々によって、��つけ竃すことが辛嬬になるからです。

DAST と MAST もテストに聞喘されました。MAST は、モバイルデバイスと��鬉垢襯稀`バ�`サイドのシステムで�g佩されているアプリケ�`ションの巌樋來を�k��するために聞喘されます。

DAST の麼な朕議は、�g佩嶄の Web アプリケ�`ションをテストしてSQL インジェクションやクロスサイト?スクリプティング��XSS��などの巌樋來を�k��することです。�g佩嶄の Web アプリケ�`ションで��喘される巌樋來の謹くは、ソ�`スコ�`ド貧に贋壓しません。それらは、云桑�h廠にデプロイされた瘁に�k�Fします。この���}に���Iするため、DAST はアプリケ�`ション?セキュリティ?テスト?プログラムにおける駅倬テストになります。

念峰のとおり、ソフトウェア?セキュリティの畠悶�颪魄冦佞垢襪砲蓮◆姑法垢琳��Rや�U�Yが駅勣となります。シノプシスの DASTによる�u��では、�J�^とセッション砿尖、アクセス崙囮、および秤�鸞���に�v�Bする匯何の巌樋來など、匯違議なソフトウェア?テストツ�`ルでは�奮�できない巌樋來を�k��するための返�咼謄好箸�根まれています。

僥び３�沙�畜來の互いネットワ�`クトラフィックの隠擦を個鋲する駅勣がある

アプリケ�`ションは、�C畜來の互いネットワ�`クトラフィックの屁栽來を隠�o竃栖ないことがあります。たとえば、巌樋な SSL/TLS ��撹はテスト���鵑� 82% に採らかの侘の巌樋來が根まれており、AST サ�`ビスによるテストで��つかった巌樋來で恷も謹く�k��されました。また、テストの�N���eに蛍��すると、ペネトレ�`ションテストでは、テスト���鵑� 77% から、DASTでは 81%、MASTでは 32% で巌樋な SSL/TLS ��撹を�奮�しました。

ペネトレ�`ションテストと DASTの�I圭で、テスト���麋�悶の 22% が XSS好�弔貌愨兇気譴討い襪海箸�わかりました。XSS好�弔蓮�Web アプリケ�`ションに唹��を嚥える恷も匯違議で、リスクレベルが互あるいは嶷な巌樋來の 1 つです。そして、ほとんどの XSS 巌樋來は、アプリケ�`ションの�g佩嶄にのみ�k�Fします。