「ソフトウェア脆弱性スナップショット」レポート：テストの 95% で対象アプリの脆弱性を発見

学び２：サイバーセキュリティは常に「人」が必要です

「Software Vulnerability Snapshot（ソフトウェア脆弱性スナップショット）」レポートを作成するために、シノプシスのCybersecurity Research Center（CyRC）の研究者は、シノプシスのAST サービスによってテストされた商用ソフトウェア システムとアプリケーションから得られた匿名化されたデータを調査しました。今年のレポートには、2,700 の対象ソフトウェアとシステムに対して実施された 4,000 以上のテストのデータも含まれていますが、ほとんどのテストは、ペネトレーションテスト、動的アプリケーション・セキュリティ・テスト（DAST）、そしてモバイル・アプリケーション・セキュリティ・テスト（MAST）を含む、侵入型の「ブラックボックス」および「グレーボックス」テストでした。

また、ASTサービスで実施したテストの 64% はペネトレーションテストでした。これは、アプリケーションまたはシステムのセキュリティを評価するために設計されたシミュレートされた攻撃で、ソフトウェアの最終開発段階またはデプロイ後に実行時の脆弱性を見つけて修正することができます。しかし、ペネトレーションテストは「人的リソース」が必要です。なぜなら、 自動化されたテストツールでは簡単に検出できない一部の脆弱性を、専門知識と十分な経験を有する「人」によって、見つけ出すことが可能になるからです。

DAST と MAST もテストに使用されました。MAST は、モバイルデバイスと対応するサーバーサイドのシステムで実行されているアプリケーションの脆弱性を発見するために使用されます。

DAST の主な目的は、実行中の Web アプリケーションをテストしてSQL インジェクションやクロスサイト・スクリプティング（XSS）などの脆弱性を発見することです。実行中の Web アプリケーションで悪用される脆弱性の多くは、ソースコード上に存在しません。それらは、本番環境にデプロイされた後に発現します。この問題に対処するため、DAST はアプリケーション・セキュリティ・テスト・プログラムにおける必須テストになります。

前述のとおり、ソフトウェア・セキュリティの全体像を把握するには、「人」の知識や経験が必要となります。シノプシスの DASTによる評価では、認証とセッション管理、アクセス制御、および情報漏洩に関連する一部の脆弱性など、一般的なソフトウェア・テストツールでは検出できない脆弱性を発見するための手動テストが含まれています。

学び３：機密性の高いネットワークトラフィックの保護を改善する必要がある

アプリケーションは、機密性の高いネットワークトラフィックの整合性を保護出来ないことがあります。たとえば、脆弱な SSL/TLS 構成はテスト対象の 82% に何らかの形の脆弱性が含まれており、AST サービスによるテストで見つかった脆弱性で最も多く発見されました。また、テストの種類別に分類すると、ペネトレーションテストでは、テスト対象の 77% から、DASTでは 81%、MASTでは 32% で脆弱な SSL/TLS 構成を検出しました。

ペネトレーションテストと DASTの両方で、テスト対象全体の 22% が XSS攻撃に曝露されていることがわかりました。XSS攻撃は、Web アプリケーションに影響を与える最も一般的で、リスクレベルが高あるいは重な脆弱性の 1 つです。そして、ほとんどの XSS 脆弱性は、アプリケーションの実行中にのみ発現します。