どのAikido製品を何に使うのか？
各製品機能の違いと、どれを選ぶべきか、何から始めるべきか。
これらは異なる解決策であって、同じものの別名ではありません。初日から全部そろえる必要はありません。
本を書くことは、コード側の製品がどのように異なるかを見るのに役立つ方法です。
| 製品 | 本にたとえると | 何に答えるか |
|---|---|---|
| SAST | スペルチェッカー | このコードには危険なパターンが含まれていますか？ |
| コード品質 | スタイルガイド | このコードはチームの品質基準を満たしていますか？ |
| 詳細レビュー | 全体の本の文脈で新しい部分をレビューする | このPR/MRは新たな問題を何か導入していますか？ |
| AIコード解析 | 本の完全版を（デジタルで）校正する | 過去からの既存の問題で、修正が必要なものはありますか？ |
| Aikido Pentest | 本の完全版を（印刷版で）校正する | リリース済み環境に、コンプライアンス上修正が必要な問題はありますか？ |
SAST は、信頼されていないユーザー入力をファイルをまたいで追跡します。接続されたリポジトリ上で実行され、PR gating を通じてプルリクエスト上でも実行されます。スペルチェッカーの行は、それが答える質問（既知のパターン）を示しているのであって、エンジンが単純だという意味ではありません。Code Quality も品質について同じ考え方で、追加していく新しいコードをチェックします。
Deep Review は「CI 上の SAST」でも「2 回目の Code Quality スキャン」でもありません。PR gating は差分に対して SAST（および有効にしていれば Code Quality）を実行します。Deep Review はその行を超えた文脈で変更を読み取り、さらにそれをカバーします セキュリティと品質の両方.
インターネットに公開されたアプリ
この 2 つは本のたとえの外にあります。
- アタックサーフェス監視 忘れられたサブドメインやぶら下がった DNS など、気づいていないかもしれないインターネット公開資産を見つけます。
- DAST (クイックスキャン): 既知のドメインについて、セキュリティヘッダー、Cookie、TLS などの露出と設定を継続的にチェックします。深いインジェクションや、ユーザー同士が互いのデータを見られることの証明には向いていません。それが Pentest です。
何を選ぶか
検索ボックスがだまされてデータベースを照会してしまう （SQL インジェクション）。まずは SAST から始めてください。既知のパターンを見つけるのに Pentest は必要ありません。
プルリクエストで、誤ってユーザー同士が互いの注文を見られるようになる。 アプリはまだ動いています。Deep Review を使ってください。SAST では危険なパターンが見えないかもしれません。Deep Review は同じ変更内の品質問題も指摘できます。
アプリは長い間本番稼働しており、顧客同士が分離されているかどうかわからない。 ソースに対して AI Code Analysis を使います。
SOC 2、ISO、または顧客のセキュリティレビューのために Pentest レポートが必要です。 Pentest を使います。テスト環境で実行してください。
古いログインページがまだインターネット上にある、またはプロキシの変更で管理 API が公開されてしまった。 何が到達可能かを見つけるには Attack Surface Monitoring を使います。すでに把握しているドメインの継続的な露出には Quick Scan を使います。
ここから始める
これらをすべて一度に実行する必要はありません。
- SAST と Code Quality: リポジトリを接続する そうすれば SAST が接続されたリポジトリをスキャンできます。次に、 PR Checks で、関心のあるリポジトリに対して SAST と Code Quality を有効にし、追加していく新しいコードがチェックされるようにします。
- 各プルリクエストで: 変更のセキュリティと品質を読みたい場合は、PR Checks で Deep Review を有効にしてください（PR gating がすでに実行している SAST と Code Quality のチェックに加えて）。
- あえて言えば: リリース、監査、またはリスクの高いアプリなど、深さや証拠が必要なときは AI Code Analysis または Pentest を使います。Code Quality リポジトリスキャン 既存のコードを対象にします。
インターネットに公開されたアプリでは、ルートドメインに Attack Surface Monitoring を追加し、すでに把握しているドメインに Quick Scan を追加してください。
金融やヘルステックのような厳しく規制された業界にいる場合、または接続されたシステムを含む複雑な構成がある場合は、 継続的ペンテスト デプロイ後に実行中のアプリを再テストします。それはソース上のプルリクエストを読む Deep Review の代替ではありません。
クレジットについてはで説明されています ウォレットとクレジット.