Webアプリケーションセキュリティテストツール

F5 Newsroom Staff

デジタルサービスに依存する組織にとって、Webサイトやアプリの脆弱性を定期的かつ継続的にテストするなど、Webアプリケーションセキュリティのベストプラクティスに従うことは極めて重要です。セキュリティテストを実施することで、攻撃者に悪用される前にWebアプリの脆弱性を早期に特定して修正できます。また、導入済みのセキュリティメカニズムと制御に負荷をかけてテストし、実環境でも意図したとおりに機能することを確認できます。

このブログ記事では、Webアプリケーションセキュリティテストの主な種類と、それぞれをいつ、どのように使用するかを解説します。また、Webアプリケーションセキュリティテストツールの例を紹介し、Webアプリケーションセキュリティのベストプラクティスについて説明します。最後に、実践的なアドバイスとガイダンスをまとめた便利なWebアプリケーションセキュリティチェックリストを掲載しています。

Webアプリケーションセキュリティテストの種類

Webアプリケーションセキュリティテストには、主に3つの種類があります。静的アプリケーションセキュリティテスト（SAST）では、ソースコードを分析して脆弱性を特定します。一方、動的アプリケーションセキュリティテスト（DAST）では、アプリケーションの実行中に外部攻撃対象領域（通常はクライアント側／フロントエンド側）をスキャンし、脆弱性をテストします。ペネトレーションテスト（ペンテストとも呼ばれます）では、サイバーセキュリティの専門家がリアルタイムの攻撃をシミュレーションし、潜在的なセキュリティ上の弱点をより深く把握します。

静的アプリケーションセキュリティテスト（SAST）

SASTは、プログラムを実行せずにアプリケーションのコードベースを分析し、ソフトウェア開発ライフサイクルの早い段階で既知の脆弱性やコーディング上の欠陥を特定します。そのため、アプリケーションを本番環境にデプロイする前の問題検出に適しています。SASTで検出される一般的な脆弱性には、割り当てられたメモリバッファーを超えてデータが書き込まれ、クラッシュやコード実行につながる可能性があるバッファーオーバーフローがあります。また、サニタイズされていない入力がデータベースクエリに使用され、攻撃者によるデータの操作やアクセスを可能にするSQLインジェクションの欠陥も検出できます。さらに、他のユーザーが閲覧するWebページに悪意のあるスクリプトが挿入されるクロスサイトスクリプティング（XSS）も検出できます。

DASTとは異なり、SASTツールは通常、開発ライフサイクルの早い段階、つまりエラーの修正が比較的容易な時点で実行され、セキュアコーディングの実践状況を確認します。ペネトレーションテストとは異なり、SASTは通常、人の介入を最小限に抑えた自動化ツールによって実施され、多くの場合、継続的インテグレーションおよび継続的デリバリー（CI/CD）プロセスの一環として実行されます。

SASTツールは言語ごとに異なるため、使用するプログラミング言語に対応したものを選択してください。Open Worldwide Application Security Project（OWASP）は、網羅的なSASTツールの一覧を公開しています。

動的アプリケーションセキュリティテスト（DAST）

DASTは、実行中のアプリケーションを分析し、ソースコードでは確認できない可能性があるランタイム脆弱性を特定します。DASTは、特定の環境条件下でのみ現れる構成依存の脆弱性の検出や、API、データベース、サードパーティサービスなどの外部システムとの連携に伴うセキュリティリスクの特定に役立ちます。また、入力の改ざんやセッションの悪用など、悪意のある、または予期しないユーザー行動によって引き起こされる脆弱性も検出できます。

SASTとは異なり、DASTツールは、アプリケーションが本番環境で稼働するようになった後、開発ライフサイクルの後半で実行されます。DASTは通常、ソースコードにアクセスせず、脆弱性を見つけて悪用しようとする攻撃者を模倣して、クライアント側から調査とテストを行います。DASTは、ステージング環境や本番環境に近い環境での問題の特定に特に有効であり、SASTなどのコードレベルのテスト手法を補完します。また、DASTはペネトレーションテストとも異なり、通常は人の介入を最小限に抑えた自動化ツールによって実施され、CI/CDプロセスの一環として継続的に実行されます。

F5は、F5 Distributed Cloud Web App Scanningを通じてDAST型のソリューションを提供しています。このソリューションは、公開されているWeb資産を自動的にクロール、検出、マッピングし、複数のドメインにわたるアプリケーションとサービスの正確なインベントリを作成することで、Webセキュリティを簡素化します。自動ペネトレーションテストを実施し、共通脆弱性識別子（CVE）や古いソフトウェアなどの既知の脆弱性に加え、OWASP Top 10やLLM Top 10の脅威を含む未知の脆弱性も特定します。このプロアクティブなアプローチにより、Web資産を包括的に保護します。また、OWASPは多数のDASTツールの一覧も公開しています。

ペネトレーションテスト

ペネトレーションテストは通常、経験豊富なサイバーセキュリティの専門家が高度な実世界の攻撃をシミュレーションし、アプリケーション、システム、ネットワークの脆弱性を特定して悪用する手動のセキュリティ評価です。攻撃者が弱点をどのように悪用し得るか、またその潜在的な影響がどのようなものかを明らかにすることで、組織のセキュリティ態勢に関する有益な知見を提供します。

ペネトレーションテストは、自動化ツールでは見逃す可能性のある高度または複雑な脅威の発見に特に効果的です。たとえば、アプリケーション本来の機能やプロセスを悪用するビジネスロジック攻撃が挙げられます。また、攻撃者が人を操って不正にアクセスしたり情報を入手したりするソーシャルエンジニアリング攻撃の可能性も特定できます。

SASTやDASTとは異なり、ほとんどの組織では、ペネトレーションテストを定期的に実施します。多くの場合、予算やセキュリティ要件に応じて、年次、四半期ごと、または月次で実施されます。

ペネトレーションテストでは、さまざまな専用ツールを活用して攻撃をシミュレーションし、組織のデジタル環境全体に潜む脆弱性を検出します。たとえば、Webアプリケーションスキャナーを使用して、ドメインの外部攻撃対象サービスをマッピングし、潜在的な脆弱性を特定します。また、ネットワークスニファーでネットワークトラフィックを監視・分析し、不正なアクティビティやデータ漏えいの兆候を確認します。さらに、Webプロキシでブラウザーと組織のWebサーバー間のトラフィックを傍受・検査し、安全でないデータ転送などの問題の特定に役立てます。パスワードクラッキングツールでは、パスワードハッシュの強度や、不適切に保存された認証情報を検証します。

一部の専門的なテスト製品（Burp Suiteなど）は、包括的なペネトレーションテストツール一式を提供していますが、ほとんどのペネトレーションテスターは、個々のタスクに最適なさまざまな専門ツールを使い分けています。一部のツールは「自動ペネトレーションテスト」を提供するとうたっており、手動のペネトレーションテストよりも低コストな代替手段となり得ます。ただし、予算が許す範囲で、サイバーセキュリティの専門家による包括的な手動のペネトレーションテストを定期的に実施することを推奨します。さらに、手動テストの合間を補完できる継続的な自動テストソリューションを併用することも有効です。

さらに、F5は無料のWebアプリスキャンサービスを提供しています。これは、あらゆる組織がWebアプリケーションのセキュリティ態勢を評価し、改善するための第一歩として活用できます。この対話型サービスでは、あらゆるドメインの状況を可視化でき、セキュリティ防御を強化するための優れた基盤となります。

Webアプリケーションセキュリティテストのベストプラクティス

選択したWebアプリセキュリティテストツールを効果的に活用するために、以下のベストプラクティスに従ってください。

ソフトウェア開発ライフサイクル全体にセキュリティテストを組み込み脆弱性を早期かつ継続的に検出します。

• テスト手法とツールを組み合わせて活用し、包括的な範囲をカバーして見落としを減らします。
• CI/CDパイプライン内の継続的なテストを自動化しコードが変更されるたびに一貫したセキュリティチェックを実施します。
• 定期的かつ詳細なペネトレーションテストを実施し、高度な脅威や見落とされている脅威を明らかにします。
• セキュリティテストのツールとプロセスが、幅広い脆弱性を検出できることを確認します。一般的なコーディングエラーから、OWASP Top 10 for APIsやLLMに関する最新の脅威を含む複雑な攻撃ベクトルまでが対象です。

Webアプリケーションセキュリティテストのチェックリスト

SAST、DAST、ペネトレーションテストのいずれを使用する場合でも、Webアプリケーションのセキュリティテストで確認すべき情報や脆弱性の種類を、便利なチェックリストとして以下にまとめます。詳しくは、Webアプリケーションのセキュリティテスト手順を段階的に解説した包括的なリソースである「OWASP Web Application Security Testing Guide」をご覧ください。

カテゴリー 説明情報収集
Webアプリケーションのフレームワーク、エントリーポイント、実行パスを把握し、検索エンジン、Webコンテンツ、メタファイルを介した情報漏えいがないか確認します。構成およびデプロイ管理 ネットワークとアプリケーションプラットフォームの構成、HTTPメソッド、コンテンツセキュリティポリシー、ファイル権限をテストします。ID管理 ロール定義、アカウントプロビジョニングプロセス、ユーザー名ポリシーをテストします。認証 デフォルト認証情報、認証のバイパス、脆弱な認証方式、アカウントロックアウト機構、パスワード変更機能をテストします。認可 ディレクトリトラバーサル、安全でない直接オブジェクト参照、権限昇格、OAuthの脆弱性がないか確認します。セッション管理 セッション管理スキーマとCookie属性を確認し、セッション変数の露出、セッションハイジャック、クロスサイトリクエストフォージェリがないかテストします。入力検証 クロスサイトスクリプティング、データインジェクション（SQLインジェクション、LDAPインジェクション、コードインジェクションなど）、サーバーサイドリクエストフォージェリがないかテストします。エラー処理 エラー処理によって、攻撃者が使用中のAPIを把握したり、各種サービスの統合関係を特定したり、DoSを引き起こしたりできないことを確認します。暗号化 脆弱なトランスポート層セキュリティ、脆弱な暗号化、暗号化されていないチャネルを介した機密情報の送信がないかテストします。ビジネスロジック ビジネスロジックのデータ検証、リクエスト偽造の可否、想定外のファイル形式のアップロード、決済機能をテストします。クライアントサイド DOMベースのクロスサイトスクリプティング、HTMLおよびCSSインジェクション、クライアントサイドのURLリダイレクト、クロスオリジンリソース共有、クロスサイトフラッシングがないかテストします。API APIの偵察を実施し、オブジェクトレベル認可の不備がないかテストします。

詳しくは、こちらのソリューション概要をご覧ください。

著者について

F5 Newsroom Staff

F5 Newsroom Staffのその他のブログ記事