Web アプリケーションセキュリティ

第16章. パートII まとめ

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

今日の ウェブ・アプリケーションは、多くの脆弱性を抱えている。これらの脆弱性の中には、本書の本編で評価しテストした脆弱性のように、簡単に分類できるものもある。他の脆弱性は、よりニッチなものであり、アプリケーションが一般的でないセキュリティモデルを持っていたり、他では 発見されないユニークなアーキテクチャの機能を持っていたりする場合、そのアプリケーションに特有のものです。

結局のところ、ウェブ・アプリケーションを徹底的にテストするためには、最も一般的な脆弱性の原型の知識、批判的思考スキル、 および、最も一般的な原型以外の深いロジックの脆弱性を発見できるように、ドメインの知識が必要です。第 1 部と 第 2 部で紹介した基礎的なスキル（ ）は、今後、あなたが参加するどのようなウェブアプリケー ションのセキュリティペンテストプロジェクトにおいても、あなたがテストを実行するのに十分なものであるはずです。

この点から、テストするアプリケーションのビジネスモデルに注意を払うこと。すべてのアプリケーションは XSS、CSRF、あるいは XXE のような脆弱性のリスクにさらされていますが、アプリケーションの根底にあるビジネ スモデルとビジネスロジックを深く理解することによってのみ、より高度で具体的な脆弱性を特定することができます。

もし第 2 部で紹介した脆弱性を実際のシナリオに適用するのが難しいと感じたら、その理由を考えてみてくださ い。あなたがテストしているアプリケーションが徹底的にハード化されている可能性もありますが、あなたがこれらの攻撃を 開発しデプロイするための知識を開発した一方で、これらの攻撃を成功裏に展開できるアプリケーションの弱点を発見するた めには、あなたのリコン能力をさらに向上させるか適用する必要がある可能性の方が高いでしょう。

本書のパート IIで学んだスキルは、パート I で学んだスキルの上に直接構築される。さらに、これらのスキルは、ウェブアプリケーションのセキュリティに関する本書の最後のパートである、攻撃から防御するためのメカニズムに進む際にも役立つだろう。

本書の終盤に進むにつれて、これまでに開発したリコンテクニックと攻撃的なハッキングテクニックの両方に留意してくださ い。防御の例を通して、ハッカーが適切な防御の有無に関わらず、どのようにアプリケーションを発見し、悪用する かを考え続けること。

ウェブ・アプリケーションの防御は、しばしば破られるものであり、それが「修正」ではなく「緩和」と頻繁に呼ばれる理由であることを学ぶ。第 1 部と 第 2 部で得た知識により、第 3 部で特定の防御を迂回したり、緩和したりするメソッドを決定することが できるかもしれない。パートIIIで紹介する防御策は、そのほとんどが業界のベストプラクティスとされているが、その多くは防弾ではなく、一度に一つの防御策に頼るのではなく、複数の防御策を組み合わせることが多い。

最後に、パートIIで紹介したテクニックは実に危険である。これらは、実際の攻撃者が日常的に使用している実際の攻撃である。あなた自身のウェブ・アプリケーションに対してテストすることは歓迎しますが、ウェブ・アプリケーションの所有者から 書面による明確な許可を得ずに、他者が所有するウェブ・アプリケーションに対してテストしないでください。

前章までのテクニックは、善にも悪にも使える。そのため、これらのテクニックの適用と使用は十分に検討されなければならず、思いつきでデプロイしてはならない。 ...