security-testing-patterns

セキュリティテストのパターン

静的解析、動的テスト、ペネトレーションテスト、脆弱性評価を含む、包括的なセキュリティテスト戦略を実装するための専門的なガイダンスです。

このスキルを使う場面

• CI/CD にセキュリティテストパイプラインを実装するとき
• セキュリティ監査や脆弱性評価を実施するとき
• アプリケーションのセキュリティ制御と防御を検証するとき
• ペネトレーションテストやセキュリティレビューを実施するとき
• SAST/DAST ツールを設定し、結果を解釈するとき
• 認証および認可の仕組みをテストするとき
• API セキュリティと OWASP 標準への準拠を評価するとき
• 開発ワークフローにセキュリティスキャンを統合するとき
• セキュリティ上の指摘に対応し、修正の優先順位を決めるとき
• セキュリティテスト手法についてチームをトレーニングするとき

基本概念

セキュリティテストのピラミッド（階層的なアプローチ）

1. ユニットセキュリティテスト - 暗号化や検証などのセキュリティ機能をテストします
2. SAST - 開発中に静的解析を行います
3. SCA - 依存関係とコンポーネントの脆弱性をスキャンします
4. DAST - 実行中のアプリケーションを動的にテストします
5. IAST - SAST と DAST を組み合わせた対話型解析を行います
6. ペネトレーションテスト - 専門家が手動でセキュリティテストを行います
7. レッドチーム演習 - 敵対的な状況をシミュレーションしてテストします

テストの分類

静的テスト（SAST）

• ソースコードを実行せずに解析します
• 開発ライフサイクルの早い段階で問題を検出します
• コード全体をカバーします
• 偽陽性の割合が高くなります

動的テスト（DAST）

• 実行中のアプリケーションをテストします
• 実行時や設定の問題を検出します
• プログラミング言語に依存しません
• デプロイ済みの環境が必要です

コンポジション解析（SCA）

• 依存関係をスキャンして脆弱性を検出します
• ライセンスへの準拠状況を追跡します
• 自動修正のオプションを提供します

手動テスト

• ペネトレーションテスト
• ビジネスロジックの検証
• 複雑な攻撃シナリオ

クイックリファレンス

タスク	リファレンスを読み込む
静的アプリケーションセキュリティテスト（SAST）	skills/security-testing-patterns/references/sast.md
動的アプリケーションセキュリティテスト（DAST）	skills/security-testing-patterns/references/dast.md
ソフトウェアコンポジション解析（SCA）	skills/security-testing-patterns/references/sca.md
ペネトレーションテスト手法	skills/security-testing-patterns/references/penetration-testing.md
API セキュリティテスト（OWASP Top 10）	skills/security-testing-patterns/references/api-security.md
ファジングとプロパティベーステスト	skills/security-testing-patterns/references/fuzzing.md
セキュリティ自動化パイプライン	skills/security-testing-patterns/references/automation-pipeline.md

セキュリティテストのワークフロー

フェーズ 1：計画

1. セキュリティ要件と脅威モデルを定義します
2. 適切なテストツールと手法を選択します
3. セキュリティ体制のベースラインを確立します
4. 重大度のしきい値と受け入れ基準を設定します

フェーズ 2：自動テスト

1. SAST - IDE と CI/CD パイプラインに統合します
2. SCA - 依存関係のスキャンを設定します（npm audit、Snyk、Dependabot）
3. DAST - デプロイ済み環境に対するスキャンをスケジュールします
4. コンテナスキャン - Docker イメージをスキャンします（Trivy、Aqua）

フェーズ 3：手動テスト

1. 認証および認可のテスト
2. ビジネスロジックの脆弱性評価
3. API セキュリティテスト（OWASP API Top 10）
4. ペネトレーションテストとエクスプロイト

フェーズ 4：分析と修正

1. 重大度と悪用可能性に基づいて指摘事項をトリアージします
2. 偽陽性を取り除きます
3. リスクに基づいて修正の優先順位を決めます
4. 脆弱性が解決されるまで追跡します
5. 回帰テストで修正を検証します

フェーズ 5：継続的なモニタリング

1. 依存関係における新たな脆弱性を監視します
2. コード変更後に再スキャンします
3. 定期的にペネトレーションテストを実施します
4. セキュリティのベースラインとポリシーを更新します

よくある間違い

ツールの選択

• 誤り：SAST のみ、または DAST のみを使用する
• 正解：複数のテスト種別を組み合わせた階層的なアプローチを採用する

誤検知の管理

• 誤り：確認せずに検出結果を無視または抑制する
• 適切：セキュリティチームによる検証を含む、体系的なトリアージプロセス

統合のタイミング

• 誤り：リリース前にのみセキュリティテストを実施する
• 適切：開発全体を通じて継続的にセキュリティテストを実施する

スコープの定義

• 誤り：メインアプリケーションのコードのみをテストする
• 適切：依存関係、API、インフラストラクチャ、サードパーティとの統合も対象に含める

修正の優先順位

• 誤り：すべての検出結果を同じように修正する
• 適切：リスクに基づいて優先順位を付ける（深刻度 × 悪用可能性 × ビジネスへの影響）

テストにおける認証

• 誤り：認証なしでDASTスキャンを実施する
• 適切：保護された機能をテストするために、認証済みスキャンを設定する

ベストプラクティス

1. シフトレフト：開発の早い段階でセキュリティテストを統合する
2. 継続的なテスト：CI/CDパイプラインでセキュリティスキャンを自動化する
3. 多層的なアプローチ：SAST、DAST、SCA、手動テストを組み合わせる
4. リスクベースのテスト：脅威モデルに基づいてテストの優先順位を付ける
5. 誤検知の管理：検出結果をトリアージするプロセスを確立する
6. 修正状況の追跡：脆弱性管理にSIEM/SOARを使用する
7. 定期的な更新：セキュリティツールとシグネチャを最新の状態に保つ
8. セキュリティチャンピオン：開発者にセキュリティテストのトレーニングを行う
9. メトリクスとKPI：セキュリティ態勢を継続的に追跡する
10. コンプライアンスの検証：テストを規制要件に対応付ける

リソース

• OWASP Testing Guide：https://owasp.org/www-project-web-security-testing-guide/
• OWASP API Security：https://owasp.org/www-project-api-security/
• NIST SP 800-115：情報セキュリティテストの技術ガイド
• PTES：ペネトレーションテスト実施標準
• SANS Security Testing：https://www.sans.org/security-resources/
• HackerOne Methodology：https://www.hackerone.com/ethical-hacker/hack-learn
• PortSwigger Academy：https://portswigger.net/web-security