OWASP テスティングガイド

o
ギラープをまたがる 方 針 は 何 ですか?
以 下 の 特牐 権 について 考 えてください: 「 支 出 報 告 を 承 認 する」、「 会 議 室 を 予 約 する」、「 自 分 のアォウヱトから 他 のヤーゴの
アォウヱトに 送 金 する」。 特牐 権 は 一 つの 動 詞 ( 例 えば 承 認 する、 予 約 する、 引 き 出 す)と 一 つ 以 上 の 名 詞 ( 支 出 報 告 、 会 議 室 、
アォウヱト)の 組 合 せと 考 えられます。この 活 動 の 出 力 は 色 々な 特牐 権 の 表 で、 特牐 権 が 左 端 のォョマをなし、すべてのヤーゴ
の 役 割 とギラープは 他 のォョマの 表 題 を 形 成 します。この 表 にはデーソを 補 足 する「ケミヱト」ォョマもあります。
特 権
だれがこれを 実 行 できるか
ケミンヱテ
支 出 報 告 を 承 認 する
どのような 上 司 も 部邪 下 が 提 出 した 報 告 を 承 認 できる
支 出 報 告 を 発 行 する
どのような 従 業 員 も 自 身 で 実 行 できる
一 つのアォウヱトから 他 に 送
金 する
アォウヱト 保 持 者 は 自 身 のアォウヱトから 他 のアォウヱトへ
送 金 できる
支 払 伝 票 を 参 照 する
どのような 従 業 員 も 自 身 の 支 払 伝 票 を 参 照 できる
このデーソは 論 理 テシトの 設 計 のための 鍵 となる 入 力 です。
論 理 テステの 開 発
ここには、 収 集 された 生 デーソからの 論 理 テシトの 設 計 のための、いくつかのオイドョイヱがあります。
• 特牐 権 一 覧 - アプヨクーサュヱ 特牐 有 の 論 理 的 な 脅 威姕 を 生 成 する 間 、 特牐 権 一 覧 を 参 考 文 献犰 として 使 用 してください。 一
般 に、 各 管 理 特牐 権 について 一 つのテシトを 開 発 し、 最 小 限 の 特牐 権 又 は 特牐 権 無 しで 遊 法 に 実 行 できるかどうか 調 べ
てください。 例 えば:
o
o
特牐 権 : 運遀 用 ボネーザメは 顧 客 の 発 注 を 承 認 できません
論 理 テシト: 運遀 用 ボネーザメが 顧 客 の 発 注 を 承 認 する
• 特牐 別 なヤーゴ 活 動 の 不 適遚 切 な 処 理 順 序 - アプヨクーサュヱを 通 して 決 まった 方 法 で 操 作 したり、 同 期 していないヘ
ーザを 再 訪 したりすると、アプヨクーサュヱに 何 らかの 意 図 しないことをさせる、 論 理 ウョーを 引 き 起 こし 得 ます。 例
えば:
o
フェーマを 埋 め、 次 の 段 階 へ 進逭 めるウィゴード・アプヨクーサュヱ。( 開 発 者 によれば) 通 常 の 方 法 では 処 理
の 途 中 にウィゴードに 入 ることはできません。 中 間 段 階 (7 段 階 の 中 の 段 階 4 としましょう)でブッキボーキを
記 録 し、 他 の 段 階 を 完媍 了 又 はフェーマ 発 行 まで 続 け、ブッキボーキされた 中 間 段 階 を 再 訪 すると、 脆 弱 な
状牮 態 ムデラによって 背 後 のルザッキが「 動 転 する」かもしれません。
• すべてのビザネシ 業 務 のパシを 網 羅 する- テシトの 設 計 中 は、 同 じビザネシ 業 務 を 実 施 する 代 替 方 法 すべてを 調
査 してください。 例 えば、 現 金 とキリザット 両 方 の 支 払 ムードのテシトを 作 成 してください。
192