HCL AppScan DAST 10.7.0 の AI によるエラー ページの検出
2024/11/5 - 読み終える時間: ~1 分
Detecting Error Pages with AI in HCL AppScan DAST 10.7.0 の翻訳版です。
HCL AppScan DAST 10.7.0 の AI によるエラー ページの検出
2024年10月26日
著者: Adam Cave / Product Marketing Manager, HCL AppScan
動的アプリケーションセキュリティ テスト (DAST) は、実行中の Web アプリケーションをスキャンして外部攻撃をシミュレートすることでセキュリティの脆弱性を特定するブラック ボックス テスト手法です。これは、Web サイトをクロールして誤った入力を挿入し、アプリケーションが予期しないデータや誤ったデータを処理する方法を観察することによって行われます。これらの種類の入力はエラー ページをトリガーする必要があります。トリガーされない場合は、ページが機密情報を公開していることを知らせたり、不適切なエラー処理による潜在的な脆弱性を示したりする可能性があります。
検証方法とエッジ ケース
HCL AppScan DAST には、これらの種類の脆弱性を検証するための 2 つの主な方法があります。1 つのケースでは、DAST エンジンは、何を探すべきかについてトレーニングされており、ヒューリスティックを使用して、脆弱性を示すエラー メッセージの一般的なパターンを認識します。これらには、一般的なデータベース エラー メッセージ (MySQL または SQL Server エラーなど) や、潜在的なセキュリティ問題としてフラグを付ける必要がある「null 参照」、「構文エラー」、「例外」などの特定のキーワードやフレーズが含まれます。
さらに、DAST は、何を探すべきかをトレーニングすることなく、すべての誤った入力を調べる 2 番目の方法を使用します。この 2 番目のプロセスは、特にエラー ページ検出に依存しています。誤った入力はエラー ページをトリガーするはずです。トリガーされない場合は、結果が脆弱性と見なされます。ただし、エラー メッセージがあまり目立たなかったり、エラーのあるページが通常のページと非常によく似ているなど、難しいエッジ ケースがあります。スキャンでこれらの兆候が見落とされると、ページがエラーのない応答と誤って解釈され、誤検知が発生する可能性があります。言い換えると、スキャンでは、存在しない潜在的な脆弱性や情報の誤った取り扱いが報告されます。
GenAI の概要
HCL AppScan バージョン 10.7.0 以降、DAST テクノロジーは Gen AI を活用して、これらのエッジ ケースに固有のリスクを軽減できるようになりました。簡単に言うと、特定のページにエラーがユーザーに表示されるかどうかを尋ねるプロンプトが AI に送信されます。顧客から提起された問題に関する実際のテストに基づくと、AI はエッジ ケースでのエラー検出において優れた実績があり、HCL AppScan DAST ヒューリスティックを補完します。
スキャン時間の増加を最小限に抑えるために、スキャン ルールでエラー ページの検出が必要な場合のみ AI にクエリが送信されます。その場合でも、HCL AppScan DAST がヒューリスティックのみを使用してエラー ページを検出できなかった場合にのみクエリが送信されます。HCL AppScan が AI の助けを借りずに応答をエラーとして検出できた場合は、この点で誤検出はほとんどないかまったくないため、検証は必要ありません。
図: HCL AppScan Standard (DAST ツール) の AI 構成を示すスクリーンショット (注: お客様は独自の LLM エンドポイントとトークンを提供する必要があります。)
HCL AppScan は、主に静的アプリケーションセキュリティ テスト (SAST) での誤検出を減らすために、何年も前から AI をテスト ツールに組み込んできました。DAST エンジンでの Gen AI のこの新しい採用と、より迅速な修復のための新しい AutoFix 機能での使用は、どちらも最先端のイノベーションであり、HCL AppScan をアプリケーションセキュリティ テストのグローバル リーダーとして定義しています。
HCL AppScan バージョン 10.7.0 の追加更新の詳細については、こちらをご覧ください。また、今すぐ当社にご連絡いただき、アプリケーションセキュリティ体制の改善と Digital+ 経済におけるビジネス リスクの軽減をどのように支援できるかご確認ください。