VAPTとは：脆弱性診断とペネトレーションテスト

何であるのか

脆弱性診断（VA）の部分は広範です。自動スキャンとレビューを組み合わせ、合意した資産全体で、未適用のパッチ、古いコンポーネント、公開されたサービス、脆弱な設定、一般的なWebの問題を特定します。ペネトレーションテスト（PT）の部分は深く掘り下げます。テスト担当者が選定した対象（通常はWebアプリケーション、API、モバイルアプリ）を手作業で扱い、指摘事項を検証し、認証、セッション管理、ロール間のアクセス制御、データの露出、ビジネスロジックをテストします。VAが網羅性を、PTが実際に悪用可能なものについての確度をもたらします。VAPTの契約は、スコープ、手法、証跡付きで深刻度を評価した指摘事項、是正ガイダンス、そして合意した場合は修正後の再テスト結果を記録した報告書で締めくくられるべきです。要求事項ではOWASP Top 10やOWASP Mobile Application Securityのガイダンスなどのフレームワークに言及されることがあります。これらはテスト担当者が確認する内容の有用な参照点です。

誰のために

VAPTは一般に、次のような組織によって、または次のような組織のために求められます。

• 調達プロセスにおいて、大企業の顧客から最新のVAPT報告書を求められるSaaS、フィンテック、Eコマースのチーム
• 連携前にセキュリティテストの証跡を求めるパートナー、銀行、決済事業者と接続する企業
• Webアプリケーションやモバイルアプリケーションの一般公開を準備するプロダクトチーム
• ホスティング、認証、決済フローを変更し、独立した確認を求める組織

明確にするのに役立つこと

適切にスコープを定めたVAPTにより、次の点が明確になります。

• 要求元が実際にテストを期待しているアプリケーション、API、環境はどれか
• 要求事項が、事業者を選ぶ前に確認すべき特定の種類の監査人や認定を指定しているか
• どの指摘事項が検証済みのリスクで、どれがスキャナーによる所見か
• 報告書を確信を持って共有する前に、どのような是正が必要か

含まれる内容

• 要求元から正確な要求事項を書面で入手する：資産、深さ、報告書の形式、事業者に関する条件
• 対象を一覧化する：ドメイン、アプリケーションのURL、APIのベースパス、モバイルアプリのビルド、環境（ステージングまたは本番）
• アクセス制御のテストが意味のあるものになるよう、ユーザーロールごとにテストアカウントを用意する
• 書面による許可、テスト期間、指名連絡先、停止条件を確認する
• 利用規約で求められている場合は、ホスティング、CDN、WAFの事業者に通知する
• 深刻度の評価、報告書の形式、証跡の共有方法を合意する
• 指摘事項を修正する時間を確保し、合意した問題の再テストを依頼する

含まれていないもの

• VAPTによってアプリケーションが安全になる、または準拠するという記述
• 特定の認定や登録要件と照合することなく、事業者がそれを満たしているという主張
• 所有者の許可がない第三者システムのテスト
• 特定の規則が何を求めているかに関する法的・規制上の助言

それを選ぶべきとき

特定の取引先から求められたとき、大規模なリリースの前、またはユーザーのログイン、支払い、データアクセスの方法を大きく変更した後に、VAPTを依頼してください。規制の関わる取引関係からの要求であれば、要求事項を注意深く読んでください。認定または登録済みの監査人（インドでは、一部の規制当局や取引先がCERT-In登録監査人に言及しています）、特定のスコープ、決まったテスト周期を指定している場合があります。要求事項と合わない報告書はやり直しが必要になることがあるため、まず要求元に詳細を確認してください。本記事は一般的な情報であり、法的・規制上の助言ではありません。

私たちのアプローチ

要求元のチェックリストを出発点とし、誰からも求められていなくても、自社の事業にとって最もリスクの高いシステムを加えてください。可能な限り本番環境を反映したステージング環境でテストし、本番環境でのテストが必要な場合の扱いを事前に合意してください。当社のApplication Security Reviewは、深刻度別の指摘事項と是正ガイダンスを書面で提供するWebアプリケーションおよびAPIのテストを対象としています。複数環境やネットワークを含む広範なスコープは、当社のPenetration Testing サービスで対応します。いずれの場合も、作業開始前にスコープ、許可、報告方法を書面で確認します。納品後は、高・重大の指摘事項から修正し、受容したリスクについての判断を記録し、再テストを依頼してください。そのうえで、要求元がその詳細度を特に必要とし、安全に受け取る手段を持っている場合を除き、技術報告書の全文ではなく、エグゼクティブサマリーまたは是正状況のレターを共有してください。

Application Security Review

よくある質問

関連記事