OWASP テスティングガイド

OWASP Testing Guide v3.0
析 の 結 果 はもっと 良 くなるでしょう。 同 様 に、スカャヨティテシトツーラに 対 して 投 資 を 決 定 している 管 理 者 についても、 熟 練
した 人 材 を 雇 用 する 投 資 を 考 えることが 重 要 です。スカャヨティテシト 研 修 についても 同 様 です。
報 告 の 要 求 事 項
アプヨクーサュヱのスカャヨティに 対 する 姿姓 勢 は、 脆 弱 性 の 数 や、 脆 弱 性 のヨシキ 評 価 のような 効 果 の 面 からと、ケーディヱギ
ウョーや、 基 本 設 計 の 瑕 疵 (かし'、 構 成 の 問 題 点 のような 原 因 (すなわわち、 根 源 'の 面 から 特牐 徴 づけることができます。
脆 弱 性 は、 異 なった 基 準 によって 分 類 することができます。 基 準 としては、OWASP トップ10や WASC ウェブアプヨクーサュ
ヱ・スカャヨティ 統 計 プルザェキトのような、 統 計 的 な 分 類 基 準 にすることもできます。あるいは WASF(ウェブアプヨクーサュヱ・
スカャヨティのフリーマワローキ' 分 類 の 事 例 のように、 防 御 的 な 対 策 と 関 連連 付 けることもできます。
スカャヨティテシトデーソを 報 告 するときには、 種 類 によって、それぞれの 脆 弱 性 の 分 類 を 示 すほかに、 次 の 情 報 を 含 めるの
が 最 も 効 果 的 な 方 法 です8
• 問 題 点 がさらされているスカャヨティの 脅 威姕
• スカャヨティの 問 題 点 の 根 本 的 な 原 因 ( 例 えば、スカャヨティバギ、 瑕 疵 (かし''
• 脆 弱 性 の 発 見 に 使 用 したテシト 技 法
• 脆 弱 性 の 改 善 策 ( 例 えば、 対 策 '
• 脆 弱 性 のヨシキ 評 価 値 ( 高 、 中 、 低 '
スカャヨティの 脅 威姕 が 何 であるか 記 述 することによって、 脅 威姕 を 緩 和 することに 対 して、 緩 和 策 が 有 効 か、 有 効 でないかを、
また、その 理 由 についても 理 解 することができるでしょう。
問 題 点 の 根 本 的 な 原 因 を 報 告 することによって、 何 を 修 正 すべきかを 正 確 に 特牐 定 するのに 役 立 つ8 例 えば、ベワロイトペッキ
シテシトの 事 例 では、セフトウェアスカャヨティの 脆 弱 性 の 根 本 原 因 は 厄 介 なセーシケードでしょう。
問 題 点 が 報 告 された 後 で、どのように 脆 弱 性 を 再 度 テシトして、 発 見 するかについて、セフトウェア 開 発 者 にオイドョイヱを 提
供 することもまた 重 要 です。これは、ケードが 脆 弱 かどうかを 発 見 するために、ベワロイトペッキシテシト 技 法 ( 例 えば、 静 的 なケ
ードアナョイゴによって、 安 全 なケードリビャーを 行 う'を 用 いることも 含 んでいます。もし 脆 弱 性 がブョッキペッキシテシト 技
法 ( 侵 入 テシト'で 発 見 できるのであれば、テシト 報 告 書 は、 脆 弱 性 がフルヱトウヱド( 例 えば、キョイアヱト'に 暴 露 されている
ことを、どのように 検 証 するかについて、 情 報 を 提 供 する 必 要 があります。
どのように 脆 弱 性 を 修 正 すべきかについての 情 報 は、 開 発 者 が 修 正 を 実 行 するために 十 分 な 程 度 に 詳 細 に 記 述 しなけれ
ばなりません。 安 全 なケーディヱギ 例 、 構 成 変 更 、および、 適遚 切 な 参 考 情 報 を 提 供 しなければなりません。
最 後 に、ヨシキ 評 価 値 を 用 いて、 改 善 の 努 力 に 優 先 順 位 を 付 けることができます。 典 型 的 には、 脆 弱 性 にヨシキ 値 を 割 り 当 て
ることは、 影 響 度 と 暴 露 率狨 のような 要 因 に 基 づいてヨシキ 分 析 することを 含 んでいます。
事 業 計 画
スカャヨティテシトの 計 測 方 法 が 有 用 であるためには、プルザェキトボネーザメ、 開 発 者 、 情 報 スカャヨティ 室 、 監 査 人 、CIO
( 最 高 情 報 責 任 者 'のような、 組 織 のスカャヨティテシトデーソの 利 害 関 係 者 に 価 値 を 提 供 する 必 要 があります。 価 値 という
のは、 事 業 計 画 における 用 語 であり、それぞれのプルザェキトの 利 害 関 係 者 が 役 割 と 責 任 に 応 じて 持 っているものになりま
す。
43