OWASP テスティングガイド

OWASP Testing Guide v3.0
テステの 原 則
セフトウェアのスカャヨティバギを 取 り 除 くためにテシトの 方 法 論 を 開 発 する 際 に、 共 通 に 見 られる 誤 解 があります。 本 章 では、
セフトウェアのスカャヨティバギをテシトするとき、 専 門 家 が 考 慮 すべきいくつかの 基 本 原 則 について 記 述 します。
銀 の 弾 丸 はありません
スカャヨティシカメナ、または、アプヨクーサュヱファイアウェーラによって、 複 数 の 防 御 が 提 供 され、あるいは、 多 くの 問 題 点
が 検 出 されると 思 いたいところですが、 現 実 には、 安 全 でないセフトウェアの 問 題 点 に 対 して( 狼犒 男 や 悪 魔 を 一 発 で 撃 退 す
るような' 銀 の 弾 丸 はありません。アプヨクーサュヱスカャヨティ 評 価 セフトウェアは、 手 の 届 きやすいところにぶら 下 がった 果
物片 を 発 見 する 最 初 の 手 段 としては 有 用 ですが、 一 般 に、 詳 細 に 評 価 することや、 適遚 切 なテシト 範 囲 を 提 供 することにおいて
は、 成 熟 したものでも、 効 果 的 でもありません。スカャヨティは 製 品 ではなく、プルスシであることを 忘 れないでください。
戦 術 的 にではなく、 戦 略 的 に 考 えてください
これまでの 数 年 間 に、スカャヨティ 専 門 家 は、1770 年 代 の 間 に 情 報 スカャヨティにおいて 普 及 していた、パッタと 侵 入 ムデ
ラが 誤 りであったことに 気 付 くようになりました。パッタと 侵 入 ムデラは、 報 告 されたバギに 対 処 しますが、 根 本 的 な 原 因 に
対 して 適遚 切 な 調 査 を 行 いません。このムデラは、 通 常 、 次 の 図 に 示 された 脆 弱 性 の 暴 露 の 窓 と 結 び 付 けられます。しかし、
世 界 中 で 広 く 使 用 されているセフトウェアの 脆 弱 性 が 多 発 していることによって、このムデラが 有 効 でないことが 示 されてし
まいました。 脆 弱 性 の 窓 についての 詳 細 な 情 報 は、[Y4]を 参 照 してください。 脆 弱 性 の 研 究 [Y5]によって、 世 界 中 の 攻 撃 者
の 反 応 時 間 を 考 えると、 典 型 的 な 脆 弱 性 の 窓 では、パッタの 適遚 用 に 十 分 な 時 間 がありません。なぜなら、 脆 弱 性 が 発 見 さ
れてから、 脆 弱 性 に 対 する 自 動 攻 撃 が 開 発 され、 公 開 されるまでの 時 間 が、 年 々、 減 少 しているからです。また、パッタと 侵
入 ムデラには、いくつかの 間 遊 った 前 提 があります。パッタが 通 常 の 運遀 用 に 影 響 を 及 ぼして、 既 存 のアプヨクーサュヱを 壊
すかもしれません。また、 必 ずしもすべてのヤーゴが( 最 終 的 に'パッタが 利 用 できることに 気 付 かないかもしれません。こう
した 理 由 によって、 製 品 のヤーゴの 必 ずしもすべてがパッタを 適遚 用 するとは 限 らないのです。
スキャリテァ
脆 弱 性 が
発 見 される
脆 弱 性 が
ベンヱダーに
知 らされる
ベンヱダー
が 顧 客 に
知 らせる
(ときどき)
スキャリテァヂール
が 更 新 される
(IDS
IDSのシギネニタメ、
脆 弱 性 評 価 ヂール
の 新 ムジャール)
リスク
レベル
脆 弱 性 が
公 表 される
パチタが
公 表 される
パチタの
存 在 が 広 く
知 られる
影 響 を 受 け
るすべての
システマに
パチタが 適
用 される
時 間
図 2: 暴 露 の 窓
21