ペンテスト

Corgea AI Pentestは、稼働中のウェブアプリケーションに対して自律的なペネトレーションテストを実行します。SASTがソースコードを解析するのに対し、ペンテストは攻撃者と同じ手口で、実際にデプロイされたアプリケーションを攻撃します。攻撃対象領域を洗い出し、複数の弱点をつなぎ合わせ、動作する攻撃コードで各検出結果を実証します。 各実行では、再現可能な概念実証を伴う検出結果と、顧客や監査人、社内の開発チームにそのまま渡せる共有用のPDFレポートが生成されます。

​

ペンテストの仕組み

各実行は、同じ3つの段階で進みます。 すべての実行で、次のエージェントを使用します。 Deepの実行では、これらの領域を越えて調査し、複数の段階にわたる攻撃の連鎖を組み立てるレッドチームエージェントが追加されます。

​

開始する前に

ターゲットのURLは、httpまたはhttpsでインターネットから到達できる必要があります。Corgeaは、次に該当するターゲットを受け付けません。

• httpまたはhttps以外のスキームを使用している
• https://user:pass@example.comのように、URLに認証情報を直接埋め込んでいる
• localhost、プライベートネットワークの範囲、クラウドのメタデータアドレスに解決される

アプリケーションがインターネットから到達できない場合は、テスト用のインスタンスを公開するか、対応方法についてお問い合わせください。

​

ターゲット

ターゲットは再利用できる設定です。攻撃先、使用する認証情報、常時適用する指示をまとめて保持します。各実行はターゲットに対して行われるため、一度設定しておけば、リリースのたびに再実行できます。 ヘッダーには、スキャンモードごとのペンテストの残り利用枠が表示されます。Pentest runsタブには、すべてのターゲットの実行が一覧表示され、検索やステータスによる絞り込みができます。

​

ターゲットを作成する

​

メールで届くログインコード

この選択肢を利用できる環境では、Corgeaがテストユーザーごとにメールアドレスを用意します。小文字の英字、数字、ハイフンで短い役割名を入力し、Provisionをクリックします。そのアドレスをアプリケーションに招待し、Check for mailで招待メールを開いて登録を完了します。アプリケーションでパスワードを設定した場合は入力し、Save userをクリックします。ユーザーごとにこの手順を繰り返します。 ユーザーを保存すると、設定用の受信トレイは閉じられます。エージェントはテスト実行中にログインコードを読み取れます。設定のために受信トレイを再び開くには、Reopen setupを使います。メールによるログインコードには、ペネトレーションテスト用メールボックスの設定が必要です。設定されていない環境では利用できません。

​

編集とアーカイブ

ターゲットの操作メニューから、実行の開始、編集、アーカイブを行えます。 編集内容が反映されるのは今後の実行のみです。各実行は開始時点のターゲット設定を保持するため、過去の実行とその検出結果には、常に当時の設定が反映されます。URLの変更や認証情報の更新によって、過去の実行の報告内容が書き換わることはありません。 Edit targetを選ぶと、設定ウィザードが再び開きます。保存済みのアカウントを削除して匿名でテストするには、ログイン手順でNo, test it anonymouslyを選択します。 アーカイブすると、ターゲットは一覧から非表示になりますが、過去の実行はすべて引き続き確認できます。

​

実行を開始する

ターゲットの操作メニューからStart new runを選択します。 Instruction overrideは、その実行に限りターゲットの常時指示を置き換えます。空のままにすると、ターゲットに設定済みの指示がそのまま使われます。ターゲットの設定を恒久的に狭めることなく、リリースしたばかりの機能に1回の実行を集中させたい場合に便利です。 BalancedとDeepの実行は、それぞれ別の利用枠を消費します。スキャンモードの選択欄には各モードの残数が表示され、残りがないモードは選択できません。利用枠を追加するには、sales@corgea.comまでお問い合わせください。

​

実行状況の確認

実行には、スキャンモードとアプリケーションの規模に応じて数時間かかります。ページを開いたままにする必要はありません。検出結果は確認され次第保存され、実行の完了時には管理者にメールを送信できます。 実行中は、実行ページが自動で更新されます。エージェントが実証した検出結果は順次表示されるため、実行の完了を待たずに重大な問題のトリアージを始められます。 エージェントの動作を確認するには、Logsをクリックします。 ツリーには、各エージェントと作業中の内容、確認した検出結果の件数が表示されます。エージェントを選択すると、現在のタスクと最新の活動を確認できます。エージェントは処理を進めながら子エージェントを起動します。追跡する価値のある対象を見つけると、自身の攻撃を中断せずに、対象を絞った追加調査を委任します。

​

検出結果の確認

実行が完了すると、実行ページに検出内容の概要が表示されます。 上部に並ぶカードは、CWEに基づいて検出結果をカテゴリ別に分類します。カードをクリックすると、下の一覧を絞り込めます。

• All findings:その実行で確認したすべての検出結果を、重大度別の件数とともに表示します
• Auth & AuthZ:アクセス制御の不備、認証、セッションに関する問題
• Business Logic:処理フローと取引の整合性に関する問題
• Injection:インジェクション、トラバーサル、信頼できない入力に関する問題
• Validated SAST:近日提供予定です。確認済みのSAST検出結果と、実行時の悪用可能性を突き合わせます

これらのカテゴリに当てはまらないCWEの検出結果も、All findingsには表示されます。

​

絞り込みとグループ化

検出結果の一覧の上部にあるツールバーでは、次の操作ができます。

• ステータスの絞り込み:Open、Fixed、Closed、False Positiveを、それぞれ最新の件数とともに表示します。MoreからAccepted Risk、Duplicate、全ステータスを追加できます
• 検索:タイトル、CWE、エンドポイントを対象に検索します
• 重大度:Critical、High、Medium、Low、Infoで絞り込みます
• CWE / Endpointの切り替え:検出結果を弱点の種類別、または影響を受けるエンドポイント別にグループ化します

CWEでグループ化すると、このアプリケーションにどの種類の欠陥があるかがわかります。エンドポイントでグループ化すると、アプリケーションのどの部分が最も危険かがわかり、修復作業を割り当てるときはこちらが役立つことが多いです。

​

検出結果の詳細

検出結果を開くと、5つのタブに分かれた詳細な内容を確認できます。

​

Finding Detailsタブ

説明、ビジネスへの影響、影響を受ける役割とユーザー、技術的な原因分析を確認できます。サイドバーには、CWEの識別子、重大度、CVSSスコア、ターゲット、エンドポイント、これまでの実行で再検出された回数が表示されます。

​

Attack Chainタブ

エージェントが実際にたどった手順が、番号付きで表示されます。各手順には送信したリクエストとアプリケーションの応答が記載されるため、開発者は推測せずに攻撃の経路を追えます。

​

Exploit Scriptタブ

検出結果を再現できる、実行可能なスクリプトです。ターゲットに対して実行すれば問題を自分で確認でき、修正後にもう一度実行すれば修正が有効かを確認できます。

​

Remediationタブ

その検出結果に対する具体的な修復手順と、関連する標準やガイダンスへの参照が表示されます。

​

Historyタブ

すべての実行にまたがる、その検出結果の時系列です。最初に検出された時期、再検出された時期、ステータスの変更やコメントの履歴を、実施した担当者とあわせて確認できます。 Corgeaは、実行をまたいで同一の問題を認識します。後のペンテストで同じ検出結果が再び現れた場合、新規として登録せず元の検出結果に紐付けるため、履歴は一連の流れとして残ります。

​

検出結果のトリアージ

検出結果のCurrent Statusで、判断を記録します。設定できるステータスは次のとおりです。 ステータスの変更は、同じ問題のすべての検出に適用されます。一度トリアージすれば、開いていた行だけでなく履歴全体が更新されます。チームに共有する背景情報を、コメントとして残すこともできます。

​

レポートをエクスポートする

実行が完了すると、Export reportから2種類のPDFを出力できます。 どちらのレポートにも、次の内容が含まれます。

• 秘密保持に関する記載と目次
• 経営層向けの要約と、検出結果のダッシュボード
• 実施範囲と手法。実行したエージェントと各エージェントの対象範囲、対象外とした内容の明示を含みます
• 重大度の定義と、段階ごとの推奨対応
• すべての検出結果の一覧表
• 重大度別にまとめた検出結果の詳細

レポートは、SOC 2やISO 27001の監査で用いるペネトレーションテストの証跡として活用でき、顧客や監査人にそのまま共有できます。特定の要件を満たすかどうかは、監査の範囲、選択した管理策、監査人の判断によって異なります。

​

修正後の再検証

修正をリリースしたら、アプリケーション全体に対するペンテストを消費せずに再テストできます。完了した実行でNew runメニューを開き、Revalidate Findingsを選択します。 再検証の実行では、元の実行で得られた検出結果だけを再テストし、次の結果を報告します。

• Still open:再び再現できた検出結果
• Closed by this run:再現できなくなった検出結果。自動的にClosedへ変更されます

再検証には、OpenまたはFixedの検出結果が1件以上ある、完了済みの実行が必要です。再検証の実行そのものを再検証することはできません。元の実行から、改めて再検証を実行してください。

​

通知

会社の管理者は、実行の完了時にAI Pentest Completedメールを受け取れます。メールには、ターゲット、スキャンモード、検出結果の合計件数、重大度別の内訳が含まれます。これは管理者ごとのメール設定のため、受け取りたくない管理者は、他の管理者に影響を与えずに無効にできます。 Corgeaは完了時にWebhookも送信します。結果をSlackに投稿する、チケットを作成する、リリースの手順を制御するといった用途に利用できます。設定方法とペイロードの詳細はWebhookを参照してください。 再検証の実行では、完了通知は送信されません。

​

よくある質問

​

関連情報