カオスエンジニアリング

本番環境やそれに近い環境で意図的に障害を発生させ、システムが耐えられるかを検証して弱点を前もって見つけ、改善する手法。サーバの停止やネットワークの遅延などを計画的に起こし、障害に強いシステムを目指す。

本番に近い環境で意図的に障害を起こし、システムが耐えられるかを検証する取組み。想定外の弱点を稼働前に見つける。

本番システムに意図的に障害を注入し、システムの耐障害性を検証するプラクティス。Netflixが提唱したChaos Monkeyが有名。定常状態の仮説を立て、実験を行い、差異を観測して改善に繋げる。分散システムの信頼性向上に活用される。

本番システムに意図的に障害を注入し、システムの耐障害性を検証するプラクティス。Netflixが提唱したChaos Monkeyが有名。定常状態の仮説を立て、実験を行い、差異を観測して改善に繋げる。分散システムの信頼性向上に活用される。

本番環境やそれに近い環境で、サーバの停止や通信の遅延などの障害を意図的に発生させ、システムが耐えられるかを実験で確かめる手法。想定外の弱点を事前に見つけて回復力（レジリエンス）を高める。NetflixのChaos Monkeyが知られる。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

攻撃者の視点でシステムに対して実際に攻撃を試み、セキュリティ上の弱点を発見するテスト手法。ネットワーク、Webアプリケーション、IoT機器などを対象に、脆弱性の悪用可能性や侵入の影響範囲を検証する。脆弱性診断より実践的な評価が得られる。

プログラムの入力に大量の予期しないデータ（ファズ）を自動的に生成・投入し、異常動作やクラッシュを引き起こすことで未知の脆弱性を発見するテスト手法。バッファオーバーフローやフォーマットストリング脆弱性などの検出に有効。

ソースコードやバイナリを実行せずに解析し、セキュリティ上の脆弱性を検出するテスト手法。開発の早い段階で脆弱性を発見でき、CI/CDパイプラインに組み込んで自動実行される。SQLインジェクションやバッファオーバーフローなどのコーディング上の問題を検出する。

実行中のアプリケーションに対して外部から疑似的な攻撃リクエストを送信し、脆弱性を検出するテスト手法。ソースコードを必要とせず、ブラックボックス的に検査する。XSS、SQLインジェクション、認証の不備などを実際の動作環境で発見できる。

アプリケーション内部にエージェントを組み込み、実行時の入出力データや内部処理の流れを監視して脆弱性を検出するテスト手法。SASTとDASTの利点を組み合わせ、誤検知を低減しつつ、脆弱性の発生箇所をソースコードレベルで特定できる。