ペンテストのカバレッジを理解する

カバレッジとは、ペンテスト実行中にAikidoが実際にテストした、発見済みエンドポイントの割合です。

探索中、Aikidoは見つけられるエンドポイント、機能、APIルートをマッピングします。エクスプロイト段階では、自律エージェントが実際の脆弱性がありそうな最も関連性の高い対象をテストします。

カバレッジは〜の比率です カバレッジ対象のエンドポイントを、発見済みエンドポイントの数で割ったもの.

これは、実行中にAikidoが発見したエンドポイントを使用します。これには、ホワイトボックステストや、API仕様を提供した場合のグレーボックステストが含まれます。

1つ以上のエージェントが、そのエンドポイントに対して意味のあるセキュリティチェックを実行したとき、そのエンドポイントはカバー済みです。

それらのチェックには次が含まれます:

正確なチェック内容は、エンドポイントの挙動とリスクプロファイルによって異なります。これらの前提は次の場所で確認できます: アタックプラン の脅威モデル.

カバレッジは ありません ペンテストの品質を測定します。

人間のペンテスターも、すべてのルートをテストするわけではありません。彼らは、悪用可能な問題を含む可能性が最も高いエンドポイントを優先します。Aikidoも同じです。

パスワードリセットのフローは、静的アセットのルートよりも重要です。管理者操作は、ヘルスチェックのエンドポイントよりも重要です。

価値の低いエンドポイントがカバーされていなくても、ペンテストの価値は下がりません。

各ペンテストには固定のクレジット予算があります。その予算はエージェントの計算時間に換算されます。

エージェントは、最も価値の高い対象からその時間を使います。すべてのエンドポイントをテストする前に予算が尽きた場合、残りのエンドポイントは通常、優先度の低いものです。

ほかによくある理由:

一部のエンドポイントでは数千件のリクエストが表示されます。別のものでは数件しか表示されません。それは正常です。

複雑なエンドポイントでは、インジェクションの種類、境界条件、エッジケースをテストするために多数のペイロードが必要です。単純な読み取り専用エンドポイントなら、数回のリクエストだけで済むことがあります。

リクエスト数が多いのは、たいてい深いテストを行ったことを意味します。少ないのは、たいていそのエンドポイントの攻撃対象領域が限られていたことを意味します。

同じアプリケーションに対する2回の実行でも、カバレッジは異なる場合があります。

Aikidoのエージェントは動的に判断します。次のようなことがあります:

そのばらつきは有用です。異なる実行により、1回の決定論的スキャンでは見逃す問題を発見できることがあります。

100%未満のカバレッジスコアだからといって、 ありません 非準拠になるわけではありません。

SOC 2、ISO 27001、NIS2のようなフレームワークは、アプリケーションのペンテストを求めています。100%のエンドポイントカバレッジまでは求めていません。

一般的な標準で最低限のカバレッジ率を定めているものはありません。実際のペンテストはルート数ベースではなく、リスクベースだからです。

監査人がより重視するのは次の点です:

Aikidoのペンテストは、そのワークフローを支援します。

カバレッジと発見数の間に直接的な関係はありません。

例:

目的は、実際に悪用可能な脆弱性を見つけることです。カバレッジ数を最大化することではありません。

まもなく、次の場所に一覧表示されているカバーされていないエンドポイントに対して追加のエージェントを起動できるようになります: カバレッジ タブを選択します。