OWASP テスティングガイド

OWASP Testing Guide v3.0
開 発 者 とテステ 実 施 者 の 業 務 の 流 れに 統 合 したスキャリテァテステ
開 発 者 のスキャリテァテス
スキャリテァテステの テの 業 務 の 流 れ
SDLC の 開 発 フェージにおけるスカャヨティテシトは、セフトウェア 開 発 者 にとって、 自 分 が 開 発 した 個 別 のセフトウェアケヱホ
ーネヱトが、 他 のケヱホーネヱトと 統 合 されてアプヨクーサュヱとして 構 築 される 前 に、 安 全 であることをテシトする 最 初 の 機
会 です。セフトウェアケヱホーネヱトは、アプヨクーサュヱ・プルギョポヱギ・イヱソフェーシ(API'、ョイブョヨ、 実 行 可 能 プルギョ
マ、 機 能 、 方 法 、および、キョシのようなセフトウェアツーラで 構 成 されているかもしれません。スカャヨティテシトのために、 開
発 者 は、セーシケード 解 析 の 結 果 を 利 用 して、 開 発 したセーシケードが 潜 在 的 脆 弱 性 を 含 まないことや、 安 全 なケーディヱギ
規 約 に 従 っていることを 静 的 に 確 認 できます。スカャヨティ 単 体 テシトでは、さらに 動 的 (すなわわち、ョヱソイマ'にケヱホーネ
ヱトが 予 期 されたように 機 能 することを 確 認 できます。 新 規 のケードと、 変 更 を 加 えた 既 存 ケードのどちらであっても、アプヨ
クーサュヱ 全 体 に 統 合 する 前 には、 静 的 および 動 的 解 析 の 結 果 をリビャーし、 検 証 しなければなりません。アプヨクーサュヱ
に 統 合 する 前 の 妥妞 当 性 検 証 は、 通 常 、 上 位 の 開 発 者 の 責 任 です。 上 位 開 発 者 は、セフトウェアスカャヨティの 内 容 について
も 専 門 家 であり、 安 全 なケードリビャーを 主 導 して、ケードをアプヨクーサュヱ 全 体 に 統 合 してよいか、あるいは、さらに 変 更
やテシトを 必 要 とするかについての 判 断 を 下 します。この 安 全 なケードリビャーの 業 務 の 流 れは、 正 式 な 受 け 入 れ 手 順 や、
業 務 の 流 れを 管 理 するツーラによっても 強 制 することができます。 例 えば、 典 型 的 な 不 具 合 管 理 の 業 務 の 流 れによって、
機 能 的 なバギが 管 理 されているものと 仮 定 すると、 開 発 者 によって 修 正 されたスカャヨティバギについても、 不 具 合 管 理 また
は 変 更 管 理 サシテマによって 報 告 することができます。アプヨクーサュヱ 全 体 の 責 任 者 は、ツーラを 用 いて、 開 発 者 が 報 告
したテシト 結 果 を 閲 覧 することができ、アプヨクーサュヱ 全 体 に 対 するケード 変 更 の 中 に 組 み 込 む 許 可 を 与 えます。
テシト 実 施 者 のスカャヨティテシ
の
スカャヨティテシトの 業 務 の 流 れ
ケヱホーネヱトとケードの 変 更 は、 開 発 者 によってテシトされます。アプヨクーサュヱ 全 体 に 組 み 込 まれた 後 に、セフトウェア 開
発 プルスシの 業 務 の 流 れの 中 で、 最 もありそうな 次 のシテップは、アプヨクーサュヱ 全 体 のテシトを 実 施 することです。このリ
プラのテシトは、 通 常 、 統 合 テシト、または、サシテマリプラテシトと 呼 ばれます。スカャヨティテシトがこのようなテシト 活 動 の
一 部邪 に 含 まれるときは、アプヨクーサュヱ 全 体 のスカャヨティ 機 能 と、アプヨクーサュヱリプラの 脆 弱 性 への 曝 露 の 双 方 につ
いて、 検 証 されます。アプヨクーサュヱに 対 するスカャヨティテシトは、セーシケード 解 析 のようなベワロイトペッキシ・テシトと、 侵
入 テシトのような、ブョッキペッキシテシトの 双 方 を 含 みます。ギリーペッキシテシトは、ブョッキペッキシテシトに 類 似 しています。
ギリーペッキシテシトでは、アプヨクーサュヱのスッサュヱ 管 理 について、 部邪 分 的 な 知 識 を 持 っていると 想 定 することができ、
その 知 識 は、ルギアウトとソイマアウト 機 能 が 適遚 切 に 安 全 であるかどうかを 理 解 するときに 役 立 ちます。
スカャヨティテシトの 対 象 は、 潜 在 的 に 攻 撃 されるおそれのある 人 工 物片 としての 完媍 全 なサシテマであって、 実 行 可 能 プルギョ
マとセーシケード 全 体 の 双 方 を 含 んでいます。このフェージにおける、スカャヨティテシトの1つの 特牐 色 として、スカャヨティテ
シト 実 施 者 が、 脆 弱 性 が 攻 略 可 能 であって、アプヨクーサュヱが 本 当 のヨシキに 暴 露 されているのかどうかを 判 断 する 点 にあ
ります。これの 脆 弱 性 には、 広 く 知 られたウェブアプヨクーサュヱの 脆 弱 性 や、 脅 威姕 ムデラ、セーシケード 解 析 、および、 安 全
なケードリビャーなど、SDLC の 他 の 活 動 で 特 定 された、スカャヨティの 問 題 点 も 含 んでいます。
通 常 、アプヨクーサュヱが 統 合 サシテマテシトの 段 階 にあるときは、セフトウェア 開 発 者 というよりもむしろ、テシト 技 術 者 がスカ
ャヨティテシトを 行 ないます。テシト 技 術 者 は、ウェブアプヨクーサュヱの 脆 弱 性 、ブョッキペッキシとベワロイトペッキシのスカャヨ
ティテシト 技 法 などのスカャヨティ 知 識 を 持 っており、このフェージのスカャヨティ 要 求 事 項 の 妥妞 当 性 検 証 の 責 任 を 持 ってい
ます。このようなスカャヨティテシトを 行 なうためには、スカャヨティテシト 事 例 が、スカャヨティテシトのオイドョイヱと 手 順 書 に
よって 文 書 化 されていることが 前 提 条 件 です。
統 合 化 されたサシテマ 環 境 でアプヨクーサュヱのスカャヨティの 妥妞 当 性 を 検 証 するテシト 技 術 者 が、 運遀 用 環 境 におけるテシト
( 例 えば、ヤーゴ 受 入 れテシト'のために、アプヨクーサュヱをヨヨーシするでしょう。SDLC のこの 段 階 (すなわわち、 妥妞 当 性 検 証 '
で、アプヨクーサュヱの 機 能 的 なテシトは、 通 常 、 品 質 管 理 テシト 実 施 者 の 責 任 です。 一 方 、ベワロイトハットハッォー( 訳 注 8 善
37