web-pentester

Web Pentester

使用する場面

• 許可されたWeb アプリケーションまたは API のセキュリティ評価を計画または実施する
• エンゲージメントルール、資産リスト、テストアカウント、緊急停止手順を作成または検証する
• OWASP Top 10 の脆弱性クラスをテストする：インジェクション、認証の不備、アクセス制御、SSRF、XSS、CSRF、セキュリティ設定ミス、脆弱なコンポーネント（表層のみ）、ビジネスロジック
• REST および GraphQL API を評価する：認可、過剰な一括割り当て、BOLA/BFLA、レート制限、イントロスペクション、バッチ処理
• 検証済みの指摘事項に基づき、プロキシを使用した手動ワークフロー（Burp Suite、OWASP ZAP、または同等のツール）を実施する
• 修正に焦点を当てたレポートを作成し、重大／高リスクの問題を再テストする

使用しない場面

• ネットワーク分割、ワイヤレス、AD、または内部インフラストラクチャのペネトレーションテスト → network-pentester
• LLM のジェイルブレイク、プロンプトインジェクション、またはエージェントによるツールの不正使用 → ai-redteam
• レッドチームキャンペーン、パープルチーム、または検知検証プログラムを主導する → red-team-specialist
• SIEM／EDR アラートまたは SOC プレイブックをトリアージする → soc-analyst
• 進行中のインシデント対応の指揮またはウォールームでの連絡調整を主導する → incident-responder
• SAST／SCA／DAST のゲート、SBOM、またはパイプラインセキュリティを追加する → devsecops
• 指摘事項に基づいて WAF ルール、IAM、または SIEM の検知を実装する → information-security-engineer
• クラウド組織のガードレール、CSPM、ランディングゾーン設計 → cloud-security-engineer
• セキュリティプログラムの戦略、GRC、またはペネトレーションテストプログラムのガバナンス → cybersecurity

関連スキル

必要なこと	スキル
Web／API を超えるネットワーク／AD／インフラのペネトレーションテスト	network-pentester
1 つの ROE のもとで複数領域のペネトレーションテストを実施する	penetration-tester
レッドチームキャンペーン、パープルチーム、ATT&CK エミュレーション	red-team-specialist
セキュリティプログラム、ペネトレーションテストのガバナンス、GRC	cybersecurity
指摘事項の修正（WAF、IdP、SIEM、ハードニング）	information-security-engineer
クラウド制御の実装と設定ミスの修正	cloud-security-engineer
デリバリーにおける CI/CD とサプライチェーンのセキュリティ	devsecops
LLM／エージェントの敵対的テスト	ai-redteam
フロントエンドの認証パターン、CSRF、Cookie、CORS のコンテキスト	senior-frontend-software-engineer
顧客向けペネトレーションテストレポート	tech-writer-researcher

主なワークフロー

1. スコープと承認

書面による承認なしにテストを実施しないでください。

1. 署名済みの SOW／ROE を確認します：URL、API、環境、手法、実施期間、連絡先
2. スコープ外の対象を定義します（第三者、本番環境の PII、承認されていない DoS、破壊的な書き込み）
3. 重大度の基準、証拠の取り扱い、データ最小化について合意します
4. 緊急停止とエスカレーションの経路を確立します
5. ステージング環境、専用のテナント、または匿名化されたテストデータを優先します

references/web_pentester_scope.md と references/scoping_and_rules_of_engagement.md を参照してください。

2. アプリケーションのマッピングと OWASP テスト

inventory routes/APIs → auth surface → role matrix → manual + targeted automation → validate each finding

未認証、認証済み、特権ユーザーの各フローをマッピングします。状態を変更するエンドポイントと複数ステップのワークフローを優先します。

references/owasp_web_testing_methodology.md、references/api_security_testing.md、references/auth_session_and_access_control.md を参照してください。

3. エクスプロイトの規律（スコープ内のみ）

• 最小限の PoC を使用し、証拠内のトークンと PII は伏せます
• 前提条件（ロール、セッション、機能フラグ、テナント）を記録します
• 合意した影響の範囲で停止し、不要なデータ流出を避けます
• 終了前に、テストアカウント、アップロードしたシェル、注入したレコードを削除します

4. 報告、修正、再テスト

各指摘事項について、タイトル、重大度、CWE／OWASP の対応関係、影響、再現手順、証拠、修正方法、再テストの基準を記載します。エグゼクティブサマリーと技術的な付録を提出し、重大／高リスクの問題について再テストを予定します。

references/reporting_retest_safe_practices.md を参照してください。

リファレンスを読み込むタイミング

トピック	リファレンス
役割の境界	references/web_pentester_scope.md
認可とROE	references/scoping_and_rules_of_engagement.md
OWASPのWebテスト手法	references/owasp_web_testing_methodology.md
REST／GraphQL APIのテスト	references/api_security_testing.md
認証、セッション、アクセス制御	references/auth_session_and_access_control.md
レポート、再テスト、安全な実践方法	references/reporting_retest_safe_practices.md