# どのAikido製品を何に使うのか？

これらは異なる解決策であって、同じものの別名ではありません。初日から全部そろえる必要はありません。

本を書くことは、コード側の製品がどのように異なるかを見るのに役立つ方法です。

<table><thead><tr><th width="156.2734375">製品</th><th width="221.4453125">本にたとえると</th><th width="367.28515625">何に答えるか</th></tr></thead><tbody><tr><td><a href="https://help.aikido.dev/docs/docs-ja/code-scanning/scanning-practices/sast-by-aikido-supported-languages-and-security-focus">SAST</a></td><td>スペルチェッカー</td><td>このコードには危険なパターンが含まれていますか？</td></tr><tr><td><a href="https://help.aikido.dev/docs/docs-ja/code-quality/code-quality-overview">コード品質</a></td><td>スタイルガイド</td><td>このコードはチームの品質基準を満たしていますか？</td></tr><tr><td><a href="https://help.aikido.dev/docs/docs-ja/deep-review/how-deep-review-works">詳細レビュー</a></td><td>全体の本の文脈で新しい部分をレビューする</td><td>このPR/MRは新たな問題を何か導入していますか？</td></tr><tr><td><a href="https://help.aikido.dev/docs/docs-ja/ai-code-analysis/ai-code-analysis">AIコード解析</a></td><td>本の完全版を（デジタルで）校正する</td><td>過去からの既存の問題で、修正が必要なものはありますか？</td></tr><tr><td><a href="https://help.aikido.dev/docs/docs-ja/pentests/aikido-pentest">Aikido Pentest</a></td><td>本の完全版を（印刷版で）校正する</td><td>リリース済み環境に、コンプライアンス上修正が必要な問題はありますか？</td></tr></tbody></table>

SAST は、信頼されていないユーザー入力をファイルをまたいで追跡します。接続されたリポジトリ上で実行され、PR gating を通じてプルリクエスト上でも実行されます。スペルチェッカーの行は、それが答える質問（既知のパターン）を示しているのであって、エンジンが単純だという意味ではありません。Code Quality も品質について同じ考え方で、追加していく新しいコードをチェックします。

Deep Review は「CI 上の SAST」でも「2 回目の Code Quality スキャン」でもありません。PR gating は差分に対して SAST（および有効にしていれば Code Quality）を実行します。Deep Review はその行を超えた文脈で変更を読み取り、さらにそれをカバーします **セキュリティと品質の両方**.

## インターネットに公開されたアプリ

この 2 つは本のたとえの外にあります。

* [**アタックサーフェス監視**](https://help.aikido.dev/docs/docs-ja/dast-surface-monitoring/attack-surface-scanning) 忘れられたサブドメインやぶら下がった DNS など、気づいていないかもしれないインターネット公開資産を見つけます。
* [**DAST**](https://help.aikido.dev/docs/docs-ja/dast-surface-monitoring/dast-surface-monitoring-overview) ([クイックスキャン](https://help.aikido.dev/docs/docs-ja/dast-surface-monitoring/front-end-scanning/scan-front-end-app-domains-with-aikido)): 既知のドメインについて、セキュリティヘッダー、Cookie、TLS などの露出と設定を継続的にチェックします。深いインジェクションや、ユーザー同士が互いのデータを見られることの証明には向いていません。それが Pentest です。

## 何を選ぶか

**検索ボックスがだまされてデータベースを照会してしまう** （SQL インジェクション）。まずは SAST から始めてください。既知のパターンを見つけるのに Pentest は必要ありません。

**プルリクエストで、誤ってユーザー同士が互いの注文を見られるようになる。** アプリはまだ動いています。Deep Review を使ってください。SAST では危険なパターンが見えないかもしれません。Deep Review は同じ変更内の品質問題も指摘できます。

**アプリは長い間本番稼働しており、顧客同士が分離されているかどうかわからない。** ソースに対して AI Code Analysis を使います。

**SOC 2、ISO、または顧客のセキュリティレビューのために Pentest レポートが必要です。** Pentest を使います。テスト環境で実行してください。

**古いログインページがまだインターネット上にある、またはプロキシの変更で管理 API が公開されてしまった。** 何が到達可能かを見つけるには Attack Surface Monitoring を使います。すでに把握しているドメインの継続的な露出には Quick Scan を使います。

## ここから始める

これらをすべて一度に実行する必要はありません。

1. **SAST と Code Quality:** [リポジトリを接続する](https://help.aikido.dev/docs/docs-ja/getting-started/setting-up-your-account/create-account-and-connect-your-repositories) そうすれば SAST が接続されたリポジトリをスキャンできます。次に、 [PR Checks](https://help.aikido.dev/docs/docs-ja/pr-and-release-gating/aikido-ci-gating-functionality) で、関心のあるリポジトリに対して SAST と Code Quality を有効にし、追加していく新しいコードがチェックされるようにします。
2. **各プルリクエストで:** 変更のセキュリティと品質を読みたい場合は、PR Checks で Deep Review を有効にしてください（PR gating がすでに実行している SAST と Code Quality のチェックに加えて）。
3. **あえて言えば:** リリース、監査、またはリスクの高いアプリなど、深さや証拠が必要なときは AI Code Analysis または Pentest を使います。Code Quality [リポジトリスキャン](https://help.aikido.dev/docs/docs-ja/code-quality/repository-scans) 既存のコードを対象にします。

インターネットに公開されたアプリでは、ルートドメインに Attack Surface Monitoring を追加し、すでに把握しているドメインに Quick Scan を追加してください。

金融やヘルステックのような厳しく規制された業界にいる場合、または接続されたシステムを含む複雑な構成がある場合は、 [継続的ペンテスト](https://help.aikido.dev/docs/docs-ja/pentests/continuous-pentesting) デプロイ後に実行中のアプリを再テストします。それはソース上のプルリクエストを読む Deep Review の代替ではありません。

クレジットについてはで説明されています [ウォレットとクレジット](https://help.aikido.dev/docs/docs-ja/miscellaneous-info/wallet-and-credits).