ペンテストは現在ベータ版で、会社単位で有効にする必要があります。サイドバーにPentestsが表示されない場合は、Corgea管理者またはCorgeaの担当者にお問い合わせください。
ターゲット
ターゲットとは再利用可能なペンテスト構成のことです。各ターゲットには名前、URL、オプションの認証情報、任意の指示、デフォルトのスキャンモードが含まれています。1
Pentestingを開く
CorgeaのサイドバーからPentestingを選択します。
2
ターゲットを作成する
New targetをクリックし、ターゲット名とURLを入力します。
3
任意のコンテキストの追加
認証が必要な領域をテスト対象にする場合は、認証情報を追加します。Additional instructionsには、実施ルール、対象外の範囲、エージェントが重点的に確認するエンドポイントを入力します。
4
デフォルトのスキャンモードを選択
短時間で実行するにはBalanced、より詳細に評価するにはDeepを選択します。
組織がテストする権限を持つターゲットだけを追加してください。認証情報は保存時に暗号化され、そのターゲットに対する実行が開始された場合にのみ使用されます。
実行を開始
ターゲット一覧から、テスト対象に対する新しい実行を開始します。ターゲットのデフォルトスキャンモードを使用するか、その実行だけ別のモードを指定できます。- Balanced:標準のペンテストエージェントを使用して、短時間で評価します。
- Deep:追加のレッドチームテストを含む、より詳細な評価を実行します。
- Instruction override:その実行に限り、ターゲットの追加指示を置き換えます。
結果を確認
実行の詳細ページには、エージェントの処理中は進捗が表示され、報告された検出結果が順次追加されます。検出結果はCWEとエンドポイントごとにグループ化されます。全検出結果の重大度別件数に加え、Auth & AuthZ、Business Logic、Injectionなど、主要カテゴリ別の件数も表示されます。 検出結果を開くと、説明、概念実証、技術分析、修復ガイダンス、ターゲット、エンドポイント、検出元エージェント、検出履歴を確認できます。ステータスの更新、コメントの追加、後続のペンテスト実行における再検出の追跡も可能です。レポートをエクスポート
実行が完了したら、Export reportからPDFレポートをダウンロードします。- Technical report:検出結果の詳細な根拠と修復情報を含みます。
- Executive report:技術者以外の読者向けに評価結果を要約します。