DAST（プログラムの動的検査）

実行中のアプリケーションに対して外部から疑似的な攻撃リクエストを送信し、脆弱性を検出するテスト手法。ソースコードを必要とせず、ブラックボックス的に検査する。XSS、SQLインジェクション、認証の不備などを実際の動作環境で発見できる。

実行中のアプリケーションに対して外部から疑似的な攻撃リクエストを送信し、脆弱性を検出するテスト手法。ソースコードを必要とせず、ブラックボックス的に検査する。XSS、SQLインジェクション、認証の不備などを実際の動作環境で発見できる。

プログラムを実行せずに、ソースコードや実行ファイルの内容を調べて分析する手法。マルウェアの解析では、逆アセンブルなどで検体のコードや埋め込まれた文字列を調べ、機能や通信先を推定する。ソフトウェアの開発では、ツールでソースコードを検査して不具合や脆弱性を見つけるのに使う。

プログラムを実行せずに、ソースコードやバイナリを解析して脆弱性を検出する検査手法。SQLインジェクションやバッファオーバーフローにつながる危険な関数の使用や、入力値が無害化されずに出力に渡る経路などを見つける。開発の早い段階から自動で実行できる一方、誤検知が多く、実行時の設定や環境に起因する問題は見つけにくい。

検査対象のソフトウェアに、ファズと呼ぶ大量の異常値や想定外のデータを自動で入力し、異常終了や応答の停止などの挙動から未知の脆弱性を見つける検査手法。バッファオーバーフローなど、入力処理の不備を発見しやすい。正常な入力を少しずつ変化させる方式や、実行された経路の網羅度を手がかりに入力を生成する方式がある。

不審なプログラムやファイルを、本来の環境から隔離した仮想環境で実行し、その挙動を観察する仕組み。ファイルの作成、レジストリの変更、外部への通信などを記録して、シグネチャでは検知できない未知のマルウェアを判定する動的解析に使われる。仮想環境であることを察知して活動を止めるマルウェアもあるため、解析妨害への対処も必要になる。

Webアプリケーションのセキュリティに取り組む国際的なコミュニティOWASPが、Webアプリケーションの重大なセキュリティリスクを10項目にまとめ、数年ごとに改訂して公表しているリスト。アクセス制御の不備、インジェクション、セキュリティ設定のミスなどが挙げられ、開発やセキュリティ診断の目安として広く使われる。

Webアプリケーションが利用者の入力をHTTPレスポンスヘッダに出力する際、改行コードを含む値をそのまま使うことで、攻撃者が任意のヘッダや本文を追加できてしまう攻撃。偽のCookieの設定や偽のページの表示に悪用され、ヘッダを出力するAPIの使用や改行コードの除去で対策する。