LoginSignup
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@leor89917(BNR-Nam)in株式会社BinaryTech | 既存システムにAIを、未来の標準に。

非機能テストのすべて [第4回]: セキュリティテストの観点

Posted at

開発者が知っておくべきセキュリティテストの実践入門：脆弱性を見つけて修正する具体的手法

1. はじめに：忘れられないセキュリティインシデント

昨年、私たちが開発したWebアプリケーションに重大なセキュリティ脆弱性が発見されました。機能テストや負荷テストはすべてパスしていましたが、公開から3ヶ月後、とあるハッカーから「おめでとうございます、SQLインジェクションの脆弱性を発見しました」というメールが届いたのです。

調査した結果、以下のことが判明しました：

  • 入力検証が不十分で、検索フォームからSQLインジェクションが可能だった
  • エラーメッセージにデータベースの構造が露出していた
  • 重要な環境変数がGitHubに誤って公開されていた

この経験は、機能が正常でもセキュリティが脆弱では意味がないということを痛感させました。本記事では、開発者として知っておくべきセキュリティテストの基本と実践手法について、具体例を交えて詳しく解説します。

2. セキュリティテストの概要：なぜ必要なのか？

セキュリティテストとは、システムの脆弱性を発見し、悪意のある攻撃から保護することを目的としたテストです。機能テストとは異なり、「いかにシステムを破壊できるか」という視点でテストを行います。

主なセキュリティテストの種類

  1. 静的アプリケーションセキュリティテスト（SAST）

    • ソースコードを静的に解析して脆弱性を発見する
    • 例：SonarQube, Checkmarx

  2. 動的アプリケーションセキュリティテスト（DAST）

    • 動作中のアプリケーションに対して外部から攻撃を試みる
    • 例：OWASP ZAP, Burp Suite

  3. 依存関係のスキャン

    • 使用しているライブラリの既知の脆弱性をチェックする
    • 例：OWASP Dependency Check, Snyk

  4. ペネトレーションテスト

    • 実際の攻撃手法を用いてシステムへの侵入を試みる

3. 実践：具体的なセキュリティテストの実施方法

ここからは、実際のツールを使ったセキュリティテストの実施方法を見ていきましょう。

3-1. SASTの実施例：SonarQubeを使ったコード解析

SonarQubeは、コードの品質とセキュリティを総合的にチェックできるプラットフォームです。

# GitHub ActionsでのSonarQube実行例
name: SonarQube Analysis
on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]
jobs:
  sonarqube:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Set up JDK
        uses: actions/setup-java@v3
        with:
          java-version: '17'
          distribution: 'temurin'
      - name: Cache SonarQube packages
        uses: actions/cache@v3
        with:
          path: ~/.sonar/cache
          key: ${{ runner.os }}-sonar
          restore-keys: ${{ runner.os }}-sonar
      - name: Run SonarQube Scanner
        run: |
          ./gradlew build sonarqube \
            -Dsonar.projectKey=binary-tech_app \
            -Dsonar.host.url=${{ secrets.SONAR_HOST_URL }} \
            -Dsonar.login=${{ secrets.SONAR_TOKEN }}

3-2. DASTの実施例：OWASP ZAPを使った動的テスト

OWASP ZAP（Zed Attack Proxy）は、無料で使える強力なセキュリティテストツールです。

# ZAP APIを使った自動スキャンの例
import time
from zapv2 import ZAPv2

# ZAPの設定
zap = ZAPv2(apikey='your-api-key', proxies={'http': 'http://localhost:8080', 'https': 'http://localhost:8080'})

# スパイダーでURLを収集
print('Spidering target...')
spider_scan_id = zap.spider.scan('https://your-app.com')
time.sleep(2)

# スパイダーの進行状況を監視
while int(zap.spider.status(spider_scan_id)) < 100:
    print(f'Spider progress: {zap.spider.status(spider_scan_id)}%')
    time.sleep(2)
print('Spider completed')

# 能動的スキャンの実行
print('Starting active scan...')
active_scan_id = zap.ascan.scan('https://your-app.com')
time.sleep(2)

# 能動的スキャンの進行状況を監視
while int(zap.ascan.status(active_scan_id)) < 100:
    print(f'Active scan progress: {zap.ascan.status(active_scan_id)}%')
    time.sleep(5)
print('Active scan completed')

# 結果のレポート生成
with open('zap-report.html', 'w') as f:
    f.write(zap.core.htmlreport())
print('Report generated: zap-report.html')

3-3. 依存関係のスキャン：OWASP Dependency Check

# OWASP Dependency Checkの実行例
docker run --rm \
  -v $(pwd):/src \
  -v $(pwd)/odc-reports:/report \
  owasp/dependency-check:latest \
  --scan /src \
  --format HTML \
  --out /report

4. 実践Tipsとよくある落とし穴

  • Tip 1: セキュリティテストは早期から継続的に行う

    • 落とし穴: リリース直前にしかセキュリティテストを行わない
    • 対策: CI/CDパイプラインにセキュリティテストを組み込み、毎回実行する

  • Tip 2: 多層的な防御を意識する

    • 落とし穴: 1つのツールや手法だけに依存する
    • 対策: SAST、DAST、依存関係スキャンを組み合わせて多角的に検査する

  • Tip 3: 誤検知との向き合い方を学ぶ

    • 落とし穴: すべての警告を同等に扱い、開発が停滞する
    • 対策: 脆弱性の重大度を理解し、リスクベースで優先順位をつける

  • Tip 4: セキュリティテスト結果の見方を学ぶ

    • 落とし穴: ツールの出力結果をそのまま受け取るだけ
    • 対策: 各脆弱性の根本原因を理解し、再発防止策を考える

5. 応用：DevSecOpsへの発展

セキュリティテストをさらに発展させ、DevSecOpsの文化を組織に根付かせましょう。

インフラとしてのセキュリティ（Security as Code）

# TerraformでセキュアなAWS S3バケットを作成
resource "aws_s3_bucket" "secure_bucket" {
  bucket = "my-secure-bucket-2024"

  # バージョニングの有効化
  versioning {
    enabled = true
  }

  # サーバーサイド暗号化の有効化
  server_side_encryption_configuration {
    rule {
      apply_server_side_encryption_by_default {
        sse_algorithm = "AES256"
      }
    }
  }

  # パブリックアクセスのブロック
  restrict_public_buckets = true
  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
}

# バケットポリシー
resource "aws_s3_bucket_policy" "secure_bucket_policy" {
  bucket = aws_s3_bucket.secure_bucket.id

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Deny"
        Principal = "*"
        Action = "s3:*"
        Resource = [
          aws_s3_bucket.secure_bucket.arn,
          "${aws_s3_bucket.secure_bucket.arn}/*"
        ]
        Condition = {
          Bool = {
            "aws:SecureTransport" = "false"
          }
        }
      }
    ]
  })
}

コンテナセキュリティ

# セキュアなDockerfileの例
FROM node:18-alpine AS builder

# 非rootユーザーの作成
RUN addgroup -g 1001 -S nodejs && \
    adduser -S nextjs -u 1001

# アプリケーションのビルド
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production

# 本番用イメージ
FROM node:18-alpine AS runner
WORKDIR /app

ENV NODE_ENV production

# 非rootユーザーのコピー
COPY --from=builder /etc/passwd /etc/passwd
COPY --from=builder /etc/group /etc/group

# アプリケーションのコピー
COPY --from=builder --chown=nextjs:nodejs /app/node_modules ./node_modules
COPY --from=builder --chown=nextjs:nodejs /app/package.json ./package.json
COPY --chown=nextjs:nodejs . .

# セキュリティ強化
RUN chmod -R g-w,o-rwx /app && \
    apk add --no-cache dumb-init

USER nextjs

EXPOSE 3000

ENV PORT 3000
ENV HOSTNAME "0.0.0.0"

CMD ["dumb-init", "node", "server.js"]

6. 結論：セキュリティはプロセスである

セキュリティテストは単発の作業ではなく、継続的なプロセスです。

  • メリット

    • セキュリティインシデントの予防による信頼性の向上
    • 顧客データの保護によるブランド価値の向上
    • コンプライアンス要件の満たすための法的リスクの低減

  • 課題

    • 専門知識の必要性
    • ツールの導入と維持コスト
    • 開発速度とのバランス

最初から完璧を目指す必要はありません。今日からできることとして、以下のステップから始めてみましょう：

  1. 依存関係のスキャンをCIパイプラインに追加する
  2. OWASP ZAPで基本的な動的テストを試す
  3. セキュリティヘッダーの設定を見直す

セキュリティは終わりのない旅ですが、一歩ずつ進めることで、より強固なシステムを構築できます。この記事が、みなさんのセキュリティテスト実践の第一歩となれば幸いです。

0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?