浸透試験フェーズ

Web アプリケーションの侵入テストを実行する場合、いくつかの手順を一般化できます。 それらのそれぞれは、異なるツールの使用と同じ結果が得られる特徴です。 また、個々の相が必ずしも互いに密接に起こるとは限らないということにも留意することができる。 しかし、ほとんどの場合、あるステージから得られる結果は、次のステージの入力であることが多いです。 次のグラフは、侵入テストの抽出されたフェーズを示しています: Web アプリケーション侵入テストの第 1 段階は、主に 攻撃される Web アプリケーションに関するできるだけ多くの情報を収集することです。 最初は些細なことのように思える人は誰でも、潜在的なエラーを見つけて悪用する上で非常に重要です。 これには、主に使用される技術、ネットワーク識別、およびオペレーティングシステムに関する情報が含まれます。 次のフェーズでは、アプリケーション全体を見つけ、そのロジックとすべての機能を学習することに焦点を当てています。 これは、アプリケーションの正しい結果と予想される結果から、セキュリティ エラーを正しく評価し、区別するために必要です。 次に、潜在的なエラーを見つける段階です。 これは、さまざまな種類のテストを実行することによって行われます。 これにより、特定のアプリケーション機能を危険な方法で使用できるかどうかを判断できます。 検出されたエラーを悪用するフェーズは続きます。 ここでは、侵入テスターが、機密情報を取得して、あらゆる利益に対して攻撃ベクトルを準備します。 攻撃者は、取得した結果に応じて、検出された脆弱性の重要度を評価します。 お客様の視点から見た最後の最も重要なことは、検出された脆弱性を正確に文書化し、実施された調査に関するレポートを作成するフェーズです。 準備された文書は、技術スタッフと管理職の両方が理解できる普遍的な言語で書かれるべきです。 難しい判断を容易にするために、検出された脆弱性をビジネスへの影響を示す方法で説明します。