OWASP テスティングガイド

良 で 倫 理 的 なハッォーであり、サシテマを 守 ることを 目 的 としている'や、スカャヨティケヱコラソヱトは、 通 常 、スカャヨティテ
シトに 関 する 責 任 があります。( 監 査 目 的 として' 第 三 者 監 査 が 必 要 とされない 場 合 は、このようなスカャヨティテシトを 実 施 す
るために、 組 織 内 の 専 門 的 な 倫 理 的 なハッカヱギターマに 頼 る 組 織 もあります。
こうしたテシトは、アプヨクーサュヱが 運遀 用 にヨヨーシされる 前 に、 脆 弱 性 を 修 正 することができる 最 後 の 機 会 ですから、テシト
ターマは、 問 題 点 があれば、 推 奨 事 項 ( 例 えば、 推 奨 事 項 にケード、 設 計 、あるいは、 構 成 の 変 更 を 含 むことがあります'と
して 明 確 に 記 述 することが 重 要 です。このリプラでは、スカャヨティ 監 査 人 と 情 報 スカャヨティ 責 任 者 が 報 告 されたスカャヨ
ティ 上 の 問 題 点 を 議 論 し、 情 報 ヨシキ 管 理 手 順 にしたがって、 潜 在 的 ヨシキを 分 析 します。このような 手 順 においては、 開 発
ターマに、 該 当 するヨシキが 認 識 されて、 受 容 されている 場 合 を 除 いて、アプヨクーサュヱが 実 装 される 前 に、すべての 高 ヨ
シキの 脆 弱 性 を 修 正 するように 要 求 されるでしょう。
開 発 者 によるスキャリテァテステ
ケーデァンヱギフェーズのスキャリテァテステ: 単 体 テステ
ケーディヱギフェージのスカャヨティテシト8 開 発 者 の 視 点 から 見 ると、スカャヨティテシトの 主 要 な 目 的 は、 開 発 したケードが
安 全 なケーディヱギ 標 準 の 要 求 事 項 に 従 って 開 発 されているかどうかを 検 証 することにあります。アプヨクーサュヱ 全 体 に 統
合 される 前 に、 機 能 、 方 法 、キョシ、API、および、ョイブョヨなどで、 開 発 者 がケーディヱギしたものは、 機 能 的 な 妥妞 当 性 を 検
証 する 必 要 があります。
開 発 者 が 従 わわなければならない、スカャヨティの 要 求 事 項 は、 安 全 なケーディヱギ 標 準 で 文 書 化 され、 静 的 および 動 的 な 分
析 によって、 妥妞 当 性 が 検 証 されなければなりません。 安 全 なケードリビャーの 後 に 続 くテシト 活 動 としては、 単 体 テシトにお
いて、 安 全 なケードリビャーで 要 求 されたケード 変 更 が 適遚 切 に 実 装 されていることを 検 証 することができます。セーシケードリ
ビャー、および、セーシケード 解 析 ツーラを 利 用 した 安 全 なケード 解 析 によって、 開 発 者 は、 開 発 したセーシケード 中 のスカ
ャヨティの 問 題 点 を 特牐 定 することができます。 単 体 テシトや 動 的 解 析 ( 例 えば、デバッガヱギ'を 用 いることによって、 開 発 者
は、ケヱホーネヱトのスカャヨティ 機 能 性 を 検 証 することができます。また、 脅 威姕 ムデラやセーシケード 解 析 を 通 じて、 以 前 に
特牐 定 されたスカャヨティ 上 のヨシキを 緩 和 するために 組 み 込 んだ 対 策 を 照 合 することもできます。
開 発 者 が 実 施 すべきであるのは、 既 存 の 単 体 テシトの 枠 組 みの 一 部邪 として、 一 般 的 なスカャヨティのテシトスットとして、スカ
ャヨティテシト 事 例 を 構 築 することです。 一 般 的 なスカャヨティのテシトスットは、 以 前 に 定 義 された 使 用 事 例 や、 誤 使 用 事 例
から 導 き 出 されて、スカャヨティテシト 機 能 、 方 法 とキョシなどで 構 成 されます。 一 般 的 なスカャヨティテシトスットは、 次 のよう
なスカャヨティ 対 策 のための 肯 定 的 な、および、 否 定 的 な 要 求 事 項 の 双 方 の 妥妞 当 性 を 検 証 するために、スカャヨティテシト
事 例 を 含 むかもしれません。
• 認 証 とアキスシ 制 御
• 入 力 検 証 とケード 化
• 暗 号 化
• ヤーゴ 管 理 とスッサュヱ 管 理
• ウョーと 例 外 の 取 扱 い
• 監 査 とルギ 取 得
38