攻撃者からアプリとAPIを守る

動的アプリケーションセキュリティテスト（DAST）とは、実行中のウェブアプリケーションを、攻撃者があなたのサイトを調査 するのと同じように、外部（ブラックボックス）からスキャンすることを意味します。DASTが重要なのは、アプリが稼動しているときにだけ現れるセキュリティ上の問題点、例えば、コードを見ただけではわからないような設定ミスや認証フローの破綻などを発見することができるからです。要するに、DASTを使えば、攻撃者が攻撃する前に、ウェブ・アプリの現実の脆弱性を発見することができるのです。

正確には、スキャンの種類によります。AikidoDAST（Surface Monitoringとも呼ばれる）は、フロントエンド上で悪意のあるペイロードをシミュレートすることはないが、APIを積極的にテストする。APIスキャンでは、制御された悪意のあるペイロードを送信し、弱点を見つけます。AIペンテストは、HTTPやAPIを通じてあなたのアプリケーションと対話し、テスト入力を注入し、あなたのアプリケーションがどのように反応するかを観察します（自動化された攻撃者のように振る舞います）。AIペンテストはこれをさらに進め、より高度なシミュレーション攻撃を実行します。このダイナミックなアプローチは、単にコードをスキャンするだけでなく、外部の攻撃者が行うのと同じように、あなたのアプリをリアルタイムで調査することを意味します。

安全 -AikidoDASTは、本番サイトにストレスを与えたり、破壊したりしないように設計されています。例えば、データベースをクラッシュさせるようなブルートフォースSQLインジェクションは行いません。一般的なウェブの脆弱性に穏やかに焦点を当てますので、スキャン中にアプリの足を引っ張ったり、不安定にしたりすることなく、セキュリティ・カバレッジを得ることができます。

ほとんどのチームでは、AikidoDASTスキャナーをCI/CDパイプライン内ではなく、ステージングまたは本番エンドポイントで実行することをお勧めします。現在のDASTは、インターネットに面したアプリをスキャンするように設計されているため、CIで実行する強いメリットはありません。ローカルDASTスキャン（CIで実行可能）は第4四半期にリリースされる予定であり、エンタープライズプランで最初に利用可能になる可能性が高い。それまでは、可能な限り本番環境に近い環境でスキャナを実行することで、最も正確な結果が得られるだろう。

Aikido の DAST は、インターネットに面したエンドポイントにおいて確実に検出できる問題に重点を置いています。これには、SQLインジェクション、認証とアクセス制御の問題、安全でない設定、機密性の高いエンドポイントの露出など、APIに関する多くのOWASPトップ10の脆弱性が含まれます。最新のチェックリストはこちらでご覧いただけます：Aikido Security DASTチェック。フロントエンドに特化したスキャンは除外されているため、調査結果はクライアントサイドの脆弱性ではなく、サーバーサイドとAPIのセキュリティを対象としています。

AikidoDASTスキャンは高速で、ほとんどの場合2分程度で終了し、4分以上かかることはほとんどありません。スキャン開始直後から結果が表示されるため、待たされることはありません。正確な時間はアプリケーションのサイズや複雑さによって異なりますが、スキャナーは迅速なフィードバックを得られるように設計されているため、開発者は迅速に対応することができます。

はい -Aikido の DAST は API をスキャンできますが、フロントエンドからエンドポイントを自動的に検出することはできません。APIスキャンについては、OpenAPI仕様（コードから生成されたもの、または手動で生成されたもの）をインポートするか、Zen 使用してエンドポイントを検出することができます。一度設定すると、スキャナは API エンドポイント（REST および GraphQL を含む）の脆弱性をテストします。つまり、完全に独立したAPIスキャナーは必要なく、Aikido 効果的にターゲットできるようにエンドポイントが定義されていることを確認するだけでよい。

AikidoDASTは、安全なOWASP ZAPスキャンのサブセットを使用し、独自のデノイズと重複排除を追加することで、関連性の高い結果のみを表示します。ノイズ、手動設定、設定管理なしでZAPレベルの検出が可能です。

認証チェックを実行したい場合のみ。Aikido ログインスクリプトをサポートしていませんが、認証情報を提供することで、追加テストを実行することができます。フロントエンドのスキャンにとって、主な利点はこれらの追加チェックを有効にすることです。認証済み」ルールは、ここの設定で切り替えることができます：Aikido DASTチェック。認証情報を提供しない場合、スキャナは公開エンドポイントだけをスキャンします。

いいえ -AikidoDASTフロントエンド・スキャナーは、ウェブ・アプリをオープンにしてしまう可能性のある、検出が容易な設定ミスを発見することに重点を置いており、一般的なリスクを迅速に修正するのに役立ちます。複雑なビジネスロジックの欠陥や、より高度な攻撃シミュレーションなど、より深い範囲をカバーするには、AIペンテストやAPIセキュリティスキャンのようなツールが適しています。自動スキャンは日常的な問題を処理し、時折手動または高度なテストを行うことで、発見が難しい脆弱性を確実に捕捉することができます。Aikido 近々、これらの分野でもカバレッジを拡大し、より深いテストをプラットフォームに直接導入する予定だ。