Takumi グレーボックス診断機能を提供開始

Takumi グレーボックス診断機能の提供を開始しました。

ソースコードと、そのコードが稼働しているアプリケーションの URL の両方を指定することで、Takumi がコードを解析して脆弱性の候補を洗い出し、稼働中のアプリケーションに対して実際に攻撃を行います。そして、再現できたものだけを指摘事項として報告します。

概要

ホワイトボックス診断はソースコードを直接読むため、外部からの調査、すなわちブラックボックス的なアプローチでは到達し得ない脆弱性も発見することができます。一方で、発見した脆弱性の候補が実際の動作環境で再現できるかどうかは、コード上からは判定できません。また、ブラックボックス診断では、実際に動作環境で再現する脆弱性のみが報告対象となりますが、コードを読まないと発見が難しい脆弱性や公開されていない機能に潜む脆弱性を検出することは困難です。

グレーボックス診断機能は、この両者の長所を取り入れた機能です。すなわち、静的解析によって脆弱性の候補を網羅的に検出するとともに、実際に動作しているアプリケーションを対象に各候補の再現性を検証するため、網羅性と正確性を両立させることが可能です。

再現性が確認されたレポート

グレーボックス診断のレポートに記載される指摘事項は、すべて稼働中のアプリケーションで再現を確認したものです。静的解析が挙げた候補のうち再現を確認できなかったものは、指摘事項とは異なり、レポート内の別のセクションに記録されます。よって、レポートを読むだけで実際に再現が可能である脆弱性をすぐに判別することが可能です。

また、各指摘事項には、再現に用いた手順も記載されます。開発者は同じ手順をたどって脆弱性が再現することを確認できるとともに、修正後に同じ手順を再度実行して修正の妥当性を確かめられます。

利用開始方法

本機能は全ての「Takumi byGMO」ユーザーの皆様が、月ごとのクレジット枠内で自由にご利用いただけます。追加料金やプラン変更は必要ございません。

グローバルサイドバー内「診断」タブから「診断を作成」ボタンをクリックし、「グレーボックス診断」を選択してご利用ください。

▼ ユーザーガイド: グレーボックス診断