Webペネトレーションテスト方法論

Elves Core は、構造化された方法論に基づいてテストを行います。

01. 範囲を定義する

Web アプリケーションの評価を行う前に、ElvesCoreでクライアントの明確な範囲を定義します。この段階では、評価のための快適な基盤を確立するために、ElvesCore とクライアント組織の間のオープンなコミュニケーションが推奨されます。

• 組織のどのアプリケーションまたはドメインをスキャン/テストするかを決定する
• 評価からの除外を周知する (特定のページ/サブドメイン)
• 公式テスト期間の決定とタイムゾーンの確認

02. 情報収集

ElvesCoreエンジニアは、無数の OSINT (Open Source Intelligence) とOWASP Top 10ツールとテクニックを使用して、ターゲットに関する可能な限り多くの情報を収集します。収集されたデータは組織の運営状況を理解するのに役立ち、取り組みの進行に応じてリスクを正確に評価できるようになります。対象となるインテリジェンスには次のものが含まれる場合があります

• Google によって流出した PDF、DOCX、XLSX、およびその他のファイル
• 過去の侵害/認証情報漏洩
• アプリケーション開発者によるフォーラム投稿の公開
• robots.txt ファイルの公開

03. リストアップ

この段階では、より高度な情報収集のための戦術の中でも、自動化されたスクリプトとツールを組み込みます。 ElvesCore のエンジニアは、考えられる攻撃ベクトルを綿密に調査します。この段階で収集された情報は、次の段階での活用の基礎となります。

• ディレクトリ/サブドメインの列挙
• クラウド サービスの構成ミスの可能性を確認する
• 既知の脆弱性とアプリケーションおよび関連サービスの関連付け

04. 攻撃と侵入

慎重に検討した上で、Web アプリ内で見つかった脆弱性への攻撃を開始します。これは、発見された攻撃ベクトルの存在を確認しながら、アプリケーションとそのデータを保護するために慎重に行われます。この段階では、次のような攻撃が実行される可能性があります。

• SQL インジェクションおよび/またはクロスサイト スクリプティング
• 認証メカニズムに対する侵害された認証情報とbrute force toolsの使用
• Web アプリの機能を監視して、安全でないプロトコルと機能を検出する

05. 報告

レポートは評価プロセスの最終段階です。 ElvesCore アナリストは、取得したすべての情報を集約し、調査結果の徹底的かつ包括的な詳細をクライアントに提供します。このレポートは、全体的なリスクの大まかな内訳から始まり、アプリケーションの保護システムとロジックの長所と短所の両方を強調しています。また、ビジネス リーダーがアプリケーションに関して十分な情報に基づいた意思決定を行えるよう支援する戦略的な推奨事項も含まれています。レポートではさらに、テスト プロセスや IT チームの修復手順など、各脆弱性を技術的に詳細に分析して、修復プロセスを簡素化しています。私たちは、各レポートが明示的であり、操作が簡単であることを保証するために多大な努力を払っています。

06. 修復テスト

さらに、クライアントの要求に応じて、クライアント組織が脆弱性にパッチを適用した後に Elves Core が評価をレビューする場合があります。変更が適切に実装され、リスクが排除されたことを確認します。以前の評価は、アプリケーションのより安全な状態を反映するために更新されます。