# ペンテスト用IPアドレス

Aikidoは、お使いの環境のペンテストを実施するために専用のIPアドレスとリクエストヘッダーを使用します。接続の問題、レート制限、セキュリティによるブロックを防ぐため、これらのIPとヘッダーをファイアウォールの許可リストやその他のセキュリティソフトウェアに追加してください。

## どのIPを許可リストに追加すべきか？

ペンテストのトラフィックは、アプリケーションが稼働しているリージョンではなく、**お使いのAikidoワークスペース**がホストされているリージョンから送信されます。Aikidoへのログインに使用しているURLを確認し、そのリージョンのIPを許可リストに追加してください：

| Aikido URL | リージョン | IPリスト |
| --- | --- | --- |
| [app.aikido.dev](https://app.aikido.dev) | EU | EUベースのIPアドレス |
| [app.us.aikido.dev](https://app.us.aikido.dev) | US | USベースのIPアドレス |
| [app.au.aikido.dev](https://app.au.aikido.dev) | AU | AUベースのIPアドレス |
| [app.me.aikido.dev](https://app.me.aikido.dev) | ME | 近日公開 |

{% hint style="warning" %}
`app.aikido.dev` でログインしている場合、エンドポイントがUSでホストされていても、接続チェックとペンテスト自体には**EU**のIPが使用されます。この場合にUSのIPのみを許可リストに追加すると、ペンテストは失敗します。
{% endhint %}

## IPアドレス

### EUベースのIPアドレス（`app.aikido.dev`）

* 34.252.102.184
* 52.48.122.82
* 52.49.182.62
* 52.209.168.11
* 52.210.210.125
* 54.76.103.212
* 54.194.175.200
* 54.217.255.121

### USベースのIPアドレス（`app.us.aikido.dev`）

* 3.226.27.188
* 34.237.95.50
* 44.209.154.183
* 52.204.120.162
* 54.80.175.207
* 54.227.161.94
* 98.88.145.68
* 98.91.68.215

### AUベースのIPアドレス（`app.au.aikido.dev`）

* 13.237.12.233
* 13.55.70.235
* 15.134.62.222
* 15.135.1.99
* 3.105.20.219
* 3.24.155.132
* 52.64.105.187
* 54.253.33.136

### オプションのIPアドレス

サポートとのトラブルシューティングに使用されます。

* 79.127.239.171

## リクエストヘッダー

Aikidoのペンテストからのすべてのリクエストには、`User-Agent` ヘッダーとして次のいずれかの値が含まれます。これらを使用して、SIEMやWAFのリクエストログでペンテストのリクエストを識別できます。

* `aikido-pentest-agent`
* `aikido-pentest-agent/1.0 (Agent <AGENT_UUID>)`


サードパーティプロバイダーでIPアドレスをホワイトリストに登録する手順については、以下のリソースを参照してください。

* [Cloudflare WAF](https://developers.cloudflare.com/waf/custom-rules/use-cases/allow-traffic-from-ips-in-allowlist/)
  * Cloudflare Turnstileは、特定のクライアントIPアドレスの許可リスト登録をサポートしていません。[Aikidoのスキャントラフィックに対してTurnstileをバイパスする必要がある場合は、アプリケーションコード内で行う必要があります。](https://developers.cloudflare.com/turnstile/tutorials/conditionally-enforcing-turnstile/) 以下の両方の条件を満たす場合にのみバイパスすることをお勧めします。
    1. リクエストがAikidoのIP範囲から送信されている
    2. 上記のとおり、リクエストのヘッダーに`aikido` User Agentが含まれている
* [Azure WAF](https://learn.microsoft.com/en-us/azure/web-application-firewall/ag/custom-waf-rules-overview)
* [AWS WAF](https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-type-ipset-match.html)。
  * Application Load BalancerまたはCloudFrontの背後にあるWAFの場合、[WAFは`X-Forwarded-For`ヘッダー内の最後のIPアドレスをチェックする必要があります](https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-forwarded-ip-address.html)。
* [Vercel WAF](https://vercel.com/docs/vercel-firewall/vercel-waf/custom-rules)
  * 信頼できるIPには[「bypass」アクション](https://vercel.com/docs/vercel-firewall/firewall-concepts#bypass)を使用してください

{% hint style="info" %}
[IPアドレスリストはJSON配列としても入手できます](https://aikido.help/ips/)
{% endhint %}

## 内部アプリケーションのテスト

アプリケーションが、パブリックインターネットからのインバウンドトラフィックを受け付けられない完全なプライベートネットワーク、VPN、またはイントラネット上でホストされている場合は、[Aikido Broker](https://help.aikidogov.us/docs/docs-ja/pentests/configure-a-pentest/pentesting-with-the-broker)を通じてペンテストを実施してください。ネットワーク内にブローカーをインストールし、内部URLを登録してから、アセスメントウィザードの**Add Broker Domain**でそれらを追加します。インバウンドの許可リスト登録は不要です。

{% hint style="info" %}
Brokerを使用するには、インフラストラクチャにエージェントをインストールする必要があります。標準的なIP許可リストの登録ができない場合に使用してください。インストール手順は[内部アプリケーション向けAikido Broker](https://help.aikidogov.us/docs/docs-ja/miscellaneous-info/aikido-broker-for-internal-applications)に記載されています。
{% endhint %}