前回、脆弱性診断の診断前の準備について述べました。
今回は脆弱性診断の診断実施について説明していきます。
以下のような流れで診断を実施していきます。
■対象サイト内の巡回
診断対象となる画面を巡回し、診断にあたって支障となりそうな箇所をあらかじめ洗い出しておきます。
必要に応じて顧客担当者へ連絡し、進捗に影響がないように問題点を解決してもらうようにします。
■自動診断、手動診断
自動診断ツールを用いて診断を実施します。
自動診断ツールも年々進化し、多くの脆弱性を発見できるようになっていますが、すべての脆弱性を発見できるわけではありません。
以下のような人間の判断が必要となってくる脆弱性は発見が難しいと言われています。
・承認の不備
・ビジネスロジックの問題
・メールヘッダーインジェクション
・クロスサイトリクエストフォージェリ
自動診断ツールでの対応が難しい脆弱性を発見するためにローカルプロキシツールを利用した手動診断も合わせて実施していきます。
■診断結果の検証、証跡の取得
脆弱性が確実なものか確認するために検証を行います。
検証を行い、確認が取れたらその脆弱性が検出されるまでの手順を証跡として記録しておきます。
■リスク評価
検出された脆弱性がすべて同じように危険であるわけではありません。
悪用のしやすさ、悪用された場合の被害の度合いや影響範囲などを考慮し、どの程度のリスクがあるか評価します。
入会申込
ログイン
