ペンテストの設定方法

ペンテストのセットアップに、何週間ものメールのやり取りや複雑なスコープ定義書は必要ありません。Aikido はこのプロセスを効率化するため、監査に向けた準備でも、単にセキュリティ体制の強化が目的でも、すぐに評価を開始できます。

前提条件

開始する前に、以下を確認してください。

Aikido における Manage Pentests の権限
ウォレット内の十分なクレジット
対象ドメインをスキャンする権限（許可）

ウィザードを起動するには、Aikido の Pentests に移動し、Project を開いて Create Assessment をクリックします。

1
ペンテスト対象を選択する

テストする対象を選択します。
- Web Application: Web サイト、フロントエンド、API、MCP サーバー。以下の手順に進んでください。リモート MCP サーバーの場合は、MCP サーバーのテストに従ってください。
- Mobile Application: ネイティブおよびハイブリッドの Android・iOS アプリ。1 つのアプリをテストすることも、バックエンドを共有している場合は両方を同じ評価でテストすることもできます。Android アプリのペンテストまたは iOS アプリのペンテストに従ってください。
- Network: 外部公開されているホストおよびサービス。ネットワークペンテストに従ってください
- AI Capabilities Only: AI 機能のテストに従ってください
2
スコープを定義する

レポートを実用的なものにするため、1 回の評価につき 1 つのアプリケーションに絞ることをお勧めします。

テスト環境を使用する: ペンテストは本番環境ではなく、ステージング環境または QA 環境で実行してください。ほとんどの検証は無害ですが、一部のバグはデータを変更しなければ確認できません。テスト環境を使用する理由
1. ドメインを入力: アプリケーションの URL を入力します。
2. スコープ: アプリケーション全体をテストするか、テストで重点を置く箇所について具体的な指示を与えるかを選択します。
3
検出されたドメインを確認する

システムが依存関係（例：認証サービス、API ゲートウェイなど）を検出します。
- ペンテストに含めるドメインを追加して In scope としてマークします。
- 使用は許可するがペンテストからは除外するドメインを追加して Allowed to reach としてマークします。
- ブロック: 定義されていないものはすべて、安全のためデフォルトでブロックされます。
4
認証

Aikido は AI エージェントを使用して複雑なログインフローを操作します。複雑なスクリプトは不要で、ログイン方法を伝えるだけです。
- ロールを定義: さまざまなユーザータイプ（例：Admin、Tenant A User、Read-Only User）ごとに認証情報セットを作成します。これにより、認証だけでなく認可ロジックもテストできます。
- 手順を記述: 平易な言葉で記述します。
  
  例：「/admin に移動します。ユーザー 'admin'、パスワード '1234' でログインします。2FA プロンプトが表示された場合は、提供された OTP シークレットを使用します。」
- セルフ登録: アプリで一般ユーザーのサインアップが可能な場合、エージェントが自らアカウントを作成できます。
5
コードとドキュメント

ホワイトボックステストは、深いロジックを分析する能力を大幅に高め、重大な問題を見逃すリスクを低減します。詳細はこちらをご覧ください。
- リポジトリをリンク: コードリポジトリを接続します。コードベースをインデックス化し、外部からは見えないロジックの欠陥を特定します。
- 仕様をアップロード: OpenAPI/Swagger 仕様や過去のペンテストレポートを添付し、既知の機密性の高い領域へスキャナーを誘導します。
- 追加のコンテキスト: アプリケーションの動作を理解するのに役立つ追加情報を提供します。
6
安全性

ペンテストは高負荷になる場合があります。サービスの性能低下を防ぐため、以下の設定を行ってください。
- 1 秒あたりの最大リクエスト数:
  - High: 完了が速くなりますが、サーバー負荷が高くなります。
  - Low: 低速ですが、システムへの負荷が穏やかになります。
- スキャン許可時間: 他の作業への影響を避けるため、ペンテストを特定の時間帯に制限します。
7
評価タイプを選択する

目的に合った評価プロファイルを選択します。
- Standard Pentest: 1 つのアプリケーションとその主要な API を対象とした、固定価格の一般的な期間限定評価です。
- Rightsized Pentest: アプリケーションのセキュリティ上重要なすべての部分をカバーするための推奨オプションです。Aikido がアプリケーションのスコープと複雑さに合わせて評価の規模を決定します。カバレッジレベルの意味を参照してください。
料金の詳細および固定ティアの参考情報については、ペンテストの料金を参照してください。
8
概要と開始

設定内容を確認し、Run Assessment をクリックしてスキャンを開始します。
- キャンセルポリシー: 誤りに気付いた場合や実行中に問題が発生した場合は、開始直後にキャンセルできます。
  - 注：早期にキャンセルした場合、クレジットは自動的に返金されます。