背景

弊社SaaSではGoolgeAPIを使用している為、毎年Googleの指定する認証をクリアしてきた。
2022年の10月15日からTier制度になったらしく、今回が初めてのセルフチェック。
加えて、認証期限まで1か月ほどのスケジュールで実施することになったので、かなりタイト。

ちなみに、私はIPAのセキュリティスペシャリスト資格を保有していますが、セキュリティアセスメントは初めて行う、名ばかりスペシャリストです。ネットワーク系の問題は試験にもたくさん出てましたが、ソフトウェア系はほとんど試験に出なかったので、初耳なことばかりで非常に勉強になりました。

CASA Frameworkとは

以上が基本的な使い方の流れとなります。

思うように結果をコントロールできない
- プロテクトモードで対象を絞っていても他社サイトにも診断に行くところが不可解だった
- 結果として、コンテキストに登録することとプロテクトモードにするだけではダメで、画面左上の◎ボタンを有効にすることが必要だった。プロテクトモードにしているのだから連動して欲しいところ。
自社サイトに限定した後も、googletagmanagerが、CWE-829 Cross-Domain JavaScript Source File Inclusion にひっかかってしまう。
- これは自社での対処方法が見つからず。
- しかし、認証機関からは脆弱性が検出されない完全なレポートでないと認証できないとのこと。
- 最終的にXMLファイルをテキスト編集して提出　→　認証完了となった。

最期にもやもやが残りましたが、次回以降に向けたノウハウを習得できました。
どなたかのお役に立てば幸いです。