• 1
    いいね
  • 0
    コメント

これはVAddy Adventカレンダー1日目の記事です。
VAddyは、継続的なWeb脆弱性検査が簡単に実現できるSaaSです。
https://vaddy.net/ja

執筆している私はVAddyのプロダクトマネージャと開発をしている市川です。セキュリティ検査エンジンはCTOのkanatokoが開発していて、私はフロントの開発を主に担当しています。
広報や契約関係をしている西野の3人のチームで運営しています。ちなみに西野はVAddy公式Twitterアカウントの中の人です。

このタイトルは私が大好きなスコットランドのクラフトビールメーカBrewDogが何種類か出しているビールの名前をオマージュしています。
https://www.brewdog.com/lowdown/blog/hello-my-name-is-vladimir
2年ぐらい前に飲んだHello my name is Vladmirは最高に美味しいビールでした。特に許可もなくプーチンの似顔絵をラベルに貼るという最高にロックな、おっと話が長くなりそうなのでこのへんにしておきますね。

VAddyが行うセキュリティテスト

VAddyが行うWeb脆弱性検査はブラックボックステストです。
ブラックボックステストはHTTPサーバにHTTPリクエストを投げてレスポンスを見ながら検査します。
簡単に言うと例えば、GETのパラメーターが
/index.php?foo=bar
であれば、
/index.php?foo=bar'
のように、パラメータ値を検査値に変更して検査していきます。(実際はもっと複雑なことをしています)
この場合、ソースコードは見ないのでVAddyに対してソースコードを提供する必要はありませんし、言語やフレームワーク、ミドルウェアを限定せずにテストできます。

VAddyの特徴

VAddyの特徴は下記になります。

  • ユーザフレンドリー
  • API連携可能(CI連携可能)
  • 低価格(フリーミアム)
  • 検査が早い

JenkinsのようなCI(継続的インテグレーションツール)がなくても使えますが、VAddyはCI連携を前提として設計して検査エンジンも自前で作っています。
これは、世の中にはこの方針で作っている脆弱性検査ツールは存在せず、やりたいことを実現しようと思ったら作るしかなかったからです。

VAddyの重要な視点

重要視しているのは、既存のテストツールと同じようにCIと連携して使えて、かつ簡単に利用できる点です。
既存のセキュリティテストツールをCIと組み合わせて運用するのは可能ですが、セキュリティエンジニア以外の人がやる場合は大変な労力を伴い、実際のビジネスのスピードを落としかねないのです。

セキュリティの話になると100%を目指すあまり、導入や運用のハードルがとても高くなり、費用対効果を考えると導入が難しくなります。
それが必要なところもあるでしょうが、多くのWebアプリケーション開発現場ではセキュリティテストが実施されず、Web Application Firewallも導入されていない現状を考えると、80%ぐらいのレベルで良いので簡単に導入できて既存の開発フローに馴染むものを提供する方が、多くの人の心に届くと考えています。

さいごに

このAdventカレンダーを通して、我々の考え方、技術的な仕組み、海外カンファレンススポンサーなどの体験談を共有していけたらと考えています。
このAdventカレンダーはVAddyに関係することであれば誰でも参加可能ですので、VAddy触ってみたとか、VAddyの印象など書いていただける方がいれば是非お願いします。
あと24回ありますが、他の参加者がいない場合は全部俺になるので、ハラハラしながら1日目の記事を終わりたいと思います。

Let's VAddy!