OWASP テスティングガイド

テステ 技 法 の 説 明
このスキサュヱでは、テシト 計 画 を 策 定 するときに、 使 用 可 能 なさまざまなテシト 技 法 について、 簡 単 な 概 要 を 記 述 します。テ
シト 技 法 の 個 々の 方 法 論 については、ここでは 記 述 しませんが、 第 3 章 で 記 述 します。このスキサュヱでは、 第 3 章 で 記 述 さ
れる 枠 組 みに 対 して、 意 味 付 けを 行 い、 考 慮 されるべきいくつかの 技 法 について、 利 点 と 欠 点 に 注 目 します。 特牐 に、 次 の 項
目 を 取 り 上 げます8
• 手 動 検 査 とリビャー
• 脅 威姕 ムデラ
• ケードリビャー
• 侵 入 テシト
手 動 検 査 とレパャー
概 要
手 動 検 査 は 人 間 が 行 うリビャーであって、 典 型 的 には、 要 員 、 内 部邪 規 程 、および、プルスシのスカャヨティとの 関 係 をテシト
しますが、 基 本 設 計 (アーカテキタメ 設 計 'のような 技 術 的 決 定 の 検 査 を 含 むこともできます。 通 常 、 文 書 を 分 析 するか、 設
計 者 やサシテマ 所 有 者 にイヱソビャーを 行 なうことによって 実 施 します。 手 動 検 査 、または、 人 間 によるリビャーの 概 念 は 単
純 ですが、 利 用 可 能 な 技 法 の 中 で、 最 も 強 力 で、 効 果 的 な 技 法 になり 得 るものです。 誰 かに、あるものについて、どのように
機 能 しているのか、なぜ、このような 方 法 で 組 み 込 んだのか、などと 尋 ねることによって、テシト 実 施 者 は、スカャヨティ 上 の
懸 念 事 項 が 存 在 するおそれがあるかどうかを 素 早 く 判 断 することができます。 手 動 検 査 とリビャーは、セフトウェア 開 発 ョイフ
コイキラプルスシ(SDLC' 自 身 をテシトして、 適遚 切 な 内 部邪 規 程 や 職 務 遂逹 行 能 力 (シカラスット'が 存 在 することを 確 実 にする 数
少 ない 方 法 の 1 つです。 人 生 における 多 くのものと 同 じように、 手 動 検 査 とリビャーを 実 行 するときは、「 信 頼 検 証 ムデラ」
を 採 用 することを 推 奨 します。 必 ずしも、すべての 人 が 話 したすべてのことが 正 確 であるとは 限 りません。 手 動 リビャーは、
要 員 がスカャヨティプルスシを 理 解 し、 内 部邪 規 程 を 知 らされていて、 安 全 なアプヨクーサュヱを 設 計 し、 実 装 するための 適遚 切
な 能 力 を 持 っているかどうかをテシトする 場 合 に、 特牐 に 優 れています。 文 書 、 安 全 なケーディヱギ 規 約 、スカャヨティ 要 求 事
項 、 基 本 設 計 の 手 動 リビャーなどを 含 む 活 動 は、すべて 手 動 検 査 を 使 用 して 実 施 しなければなりません。
利 点 :
• 技 術 的 な 支 援 が 不 要
• さまざまな 状牮 況 で 適遚 用 可 能
• 柔 軟 性 がある
• ターマワローキを 促 進逭
• SDLC の 早 期 に 実 施 可 能
欠 点 :
• 時 間 が 掛 かることがある
24