コードセキュリティ監査
環境不要で、ソースコードに対してペンテスト級の推論を行います。
Code Security Audit は、セキュリティ重視の監査タイプです AIコード解析。ペンテスト級の推論を用いて、ソースコード内の脆弱性、ロジック上の欠陥、エクスプロイトチェーンを特定します。
ステージングURL、クロール、ペンテストのスコープ設定は不要です。リポジトリを接続し、クレジットでの料金を確認して、監査を開始してください。
仕組み
リポジトリを接続
リポジトリは作成フローで選択します。Code Security Audit に必要なのはソースコードだけで、稼働中の対象、ドメイン、認証設定は不要です。詳細は Aikidoはコードを保存しません 分析中にソースがどのように扱われるかについて。
エージェントがコードを推論する
複数のセキュリティエージェントが、接続されたコードベースを連携して調査し、ファイルをまたいでコンテキストをつなぐことで、従来の静的スキャナーでは見えないアーキテクチャ上およびロジック上の欠陥をあぶり出します。コミット AGENTS.md その推論を、あなたのアーキテクチャと許容済みのリスクに沿わせたい場合は、リポジトリ内で。参照 リポジトリファイルでエージェントをガイドする.
発見事項を読む
発見事項は 課題 アセスメントのタブとFeed内で、Aikido が検出した他のすべての項目と並んで表示されます。各検出項目には、概要、根本原因、修復方法、そしてコードベースの 証拠。 進捗と検出結果を追跡する 完全な詳細表示を見るには。
価格とクレジット
Code Security Audit の料金は Aikido クレジットで.
- 次の 料金 ステップで、確定前に正確なクレジット合計が表示されます。
- 費用は、選択したコードベースのサイズと複雑さによって決まります。大きく、または広範に広がった選択ほど、費用は高くなります。
- クレジットは 監査を開始.
これらが SAST、Deep Review、動的アプリケーションセキュリティテスト（DAST）、Attack Surface Monitoring とどう位置づくかについては、をご覧ください どの Aikido 製品を使うべきですか？.
Code Security Audit と Aikido Pentest の比較
どちらも同じエージェント型エンジンで動作しますが、答える問いは異なります。Code Security Audit はソースコードについて推論し、Aikido Pentest は稼働中のアプリケーションを検証します。
Code Security Audit を使うのは次のような場合です:
- 稼働環境を構成せずに、アクセス制御の不備、権限昇格、複数段階の攻撃チェーンを含む、ロジックやアーキテクチャの欠陥について深くコードを推論したい場合。
- 安定したステージング環境やQA環境の対象がない、または認証フローが実運用テストの準備ができていない場合。
- モバイルアプリ、デスクトップアプリ、組み込みシステム、ライブラリなど、コードベースを実運用テスト向けにセットアップするのが難しい場合。オンチェーン契約に焦点を当てたレビューには、 スマートコントラクト監査.
- 最小限の設定で迅速に進めたい場合: リポジトリを接続し、クレジットを確認して、開始します。
- 本番デプロイに出る前に、ソース上の変更を検証したい場合。
Aikido Pentest を使うのは次のような場合:
- 稼働中の対象があり、実際のトラフィックで実際に悪用可能かを検証したい場合。
- 再現リクエスト、攻撃対象領域のマッピング、ライブエージェントの活動を含む、実行時の証拠がほしい場合。
- スコープに、ソースに見えているものを超えて、ドメイン、認証済みユーザーロール、クロールで見つかったエンドポイントが含まれる場合。
- 必要なのは さらに悪用する 検証済みの発見事項をもとに、実行中のアプリに対する悪用をエスカレートし、機密データに実際に到達できるかなどの本当の影響を証明することです。
- ライブペンテストを想定する SOC 2 や ISO 27001 などのコンプライアンス要件を満たす必要がある場合。
Code Security Audit と SAST の比較
どちらもソースコードを見ますが、仕組みは異なります。 静的アプリケーションセキュリティテスト（SAST） たとえば、汚染されたパラメータ、危険な API 呼び出し、またはチェック漏れのようなパターンを検出します。Code Security Audit はファイルをまたいで意図と文脈を推論するため、攻撃者視点が必要な問題を特定できます。両者は相補的です。
Code Security Audit を使うのは次のような場合です:
- パターンマッチングでは見えない、アクセス制御の不備、権限昇格、ビジネスロジックの迂回、複数段階の攻撃チェーンを含むロジックやアーキテクチャの欠陥を見つけたい場合。
- サービス、モジュール、ヘルパーをまたいで参照を追う、ファイル横断の推論が必要な場合。
- 重要な変更、リリース、またはコードベースを分析しており、継続スキャンに加えて攻撃者視点のレビューがほしい場合。
- 単なるパターン検出ではなく、特定の検出結果について、根本原因、攻撃経路、修復方法を含むより深い文脈がほしい場合。
SAST を使うのは次のような場合:
- インジェクションのシンク、汚染フロー、ハードコードされたシークレット、危険な API、Infrastructure as Code（IaC）の設定ミスなど、一般的な脆弱性パターンについて、各コミットごとの迅速なフィードバックがほしい場合。
- スキャンごとにクレジットを消費せず、すべてのプルリクエストとブランチを広く継続的にカバーする必要がある場合。
- 既知の危険パターンに対して、CI/CD でプルリクエストのゲートを適用している場合。
FAQ
なぜ Code Security Audit にはライブ URL が不要なのですか?
Code Security Audit はソースコードを直接読み取り、推論します。クロール、トラフィックの再現、ライブでの悪用はないため、向ける環境はありません。デプロイ済みの対象に対するライブテストには、を使用します Aikido Pentest.
Code Security Audit の検出結果を再テストできますか?
はい。修正をプッシュしたら、 再テスト をクリックして、Aikido に最新コードとの差分を再チェックさせてください。 さらに悪用する は Aikido Pentest のアクションです。実行中のアプリが必要です。その他の監査タイプの再テストは、で扱われます 進捗と検出結果を追跡する.