ドメインとAPIについて、なぜ特定の問題をそのようにフラグ付けするのか

Aikido の Domain と API スキャンは、意図的に独自の判断基準を持っています。ベストプラクティスのチェックリストからのあらゆる逸脱を報告するわけではなく、何かを報告する場合でも、その重大度は、調査名そのものよりも、どれだけ緊急に修正すべきだと考えているかを反映しています。

そのため、当社の結果が他のスキャナーと常に一致するとは限りません。このページでは、お客様から最もよく質問される判断の背景を説明します。つまり、意図的にフラグを立てない問題と、想定より高く評価する問題です。

当社の評価があなたの環境に合わない場合は、重大度を手動で調整できます。単一の問題にも、問題グループ全体にも適用できます。

フラグを立てない問題

TLS 1.2

TLS 1.2 の使用自体はフラグを立てません。TLS 1.2 は、強力な暗号スイートで構成されている限り、今でも安全とみなされます。TLS 1.2 そのものに対して警告すると、まったく安全なドメインでもノイズが発生してしまいます。

代わりに、使用されている安全でない暗号をフラグします。ドメインが TLS 1.2 を弱い暗号で動作させている場合は、それらの暗号について検出結果が表示されます。暗号が強力であれば、修正すべき点はなく、警告も出ません。

これは CSPM および IaC スキャンと一致しています。そこでは、基準は少なくとも TLS 1.2 であり、弱い暗号のみがフラグされます。

Permissions-Policy ヘッダーの欠如

不足している Permissions-Policy ヘッダーはフラグしません。このヘッダーにより、ページはマイク、カメラ、位置情報など、JavaScript が要求を許可されているネイティブブラウザー機能を宣言できます。

これがないことの影響は小さいです。ヘッダーがなくても、ブラウザーは引き続きユーザーにこれらのネイティブ機能へのアクセスを許可するか拒否するかを求めます。このヘッダーは、自分のスクリプトが要求できる内容を制限するだけで、攻撃者が利用できる穴を開けるものではありません。これをフラグしても、実際のリスクを示すことなくノイズを増やすだけです。

重大度の判断

Content-Security-Policy ヘッダーの欠如を重大としてフラグ

Content Security Policy (CSP) は、ブラウザーに対して、どのソースのスクリプトやその他のコンテンツの読み込みを許可するかを指示するヘッダーです。これがないと、ページに到達したあらゆるスクリプトが、ユーザー入力やセッションを含め、ページに対する完全なアクセス権を持って実行されます。

不足している CSP を高く評価するのは、その防御効果が非常に大きいためです。これはクロスサイトスクリプティング（XSS、攻撃者が自分の JavaScript をユーザーのブラウザーで実行させる攻撃）に対する最も強力な防御であり、外部公開アプリでは標準的に期待されるものです。これなしで運用すべき正当な理由はありません。

XSS が確認されるのを待ってからフラグを立てることはしません。重大度は修正の緊急度を反映しており、現在の悪用が証明されているかどうかではありません。