セキュリティテスト

目次

• 概要
• 使用場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

セキュリティテストは、アプリケーションの脆弱性、弱点、脅威を特定し、データ保護を確保し、不正アクセスを防ぎ、システムの完全性を維持します。自動スキャン(SAST、DAST)と手動のペネトレーションテスト及びコードレビューを組み合わせています。

使用場面

• OWASP Top 10 の脆弱性テスト
• 既知の脆弱性に対する依存関係のスキャン
• 認証・認可のテスト
• 入力サニタイゼーションの検証
• API セキュリティのテスト
• 機密データの露出チェック
• セキュリティヘッダーの検証
• セッション管理のテスト

クイックスタート

最小限の動作例:

# security_scan.py
from zapv2 import ZAPv2
import time

class SecurityScanner:
    def __init__(self, target_url, api_key=None):
        self.zap = ZAPv2(apikey=api_key, proxies={
            'http': 'http://localhost:8080',
            'https': 'http://localhost:8080'
        })
        self.target = target_url

    def scan(self):
        """Run full security scan."""
        print(f"Scanning {self.target}...")

        # Spider the application
        print("Spidering...")
        scan_id = self.zap.spider.scan(self.target)
        while int(self.zap.spider.status(scan_id)) < 100:
            time.sleep(2)
            print(f"Spider progress: {self.zap.spider.status(scan_id)}%")

        # Active scan
        print("Running active scan...")
// ... (see reference guides for full implementation)

リファレンスガイド

references/ ディレクトリの詳細な実装:

ベストプラクティス

✅ すべきこと

• CI/CD でセキュリティスキャンを実行する
• 実際の攻撃ベクトルでテストする
• 依存関係を定期的にスキャンする
• セキュリティヘッダーを使用する
• レート制限を実装する
• すべての入力を検証・サニタイズする
• パラメータ化クエリを使用する
• 認証・認可を徹底的にテストする

❌ してはいけないこと

• シークレットをコードに保存する
• ユーザー入力を信頼する
• 詳細なエラーメッセージを露出させる
• 依存関係の更新をスキップする
• デフォルト認証情報を使用する
• セキュリティ警告を無視する
• ハッピーパスのみをテストする
• 機密データをコミットする