安全対策

ペネトストが環境に与える影響を最小限に抑えるため、次の安全機構が備わっています。

ペネトストは、ステージング、テスト、または隔離された環境で開始することを強く推奨します。なぜテスト環境を使うのですか？

意図した範囲外でのペネトストの防止

設計上、ペネトストエージェントは、ペネトストのセットアップ時に明示的に承認されていないドメインへは到達できません。2つのセキュリティ境界があります:

攻撃可能なドメイン: ペネトスト中に能動的に攻撃できるドメイン
アクセス可能なドメイン: 能動的に攻撃すべきではないが、使用は許可されているドメイン。

以下の例の設定では、エージェントは attack-me.com を攻撃し、 auth.provider.comを使用できます。その他のすべてのドメインはブロックされます。

注: 静的ファイルを含むリクエストや開発ツールプラットフォームの一部であるリクエストは自動的にアクセス可能ですが、攻撃は行われません。

ペネトストの一時停止またはキャンセル

キャンセル は評価を完全に停止し、再開はできません。実行に使用されたクレジットは、起動後最初の数分以内にキャンセルしない限り返金されません。代わりに 代わりに を使って攻撃を停止し、後で同じ評価を続行したい場合。

代わりに 評価を開いたままの状態で、攻撃エージェントを一時的に停止します。再開テストを続行します。Pause は、エージェントが実際に攻撃を開始している場合にのみ利用できます。スケジューリング、コードベース分析、アクセスチェック、または探索中は利用できません。各評価は手動で最大3回まで一時停止できます。

また、ブロックされたリクエストやログインの問題など、何か対応が必要な場合には、Aikido が自動的に評価を一時停止することがあります。評価ページでステータスを確認し、求められている内容を修正してから、再開続行する準備ができたらクリックしてください。

高いサーバー負荷の軽減

サーバー負荷による潜在的な影響を最小限に抑えるため、セットアップではペネトストが生成する1秒あたりの最大リクエスト数を設定でき、また営業時間外に実行するオプションも用意されています。

起動後でも、ペネトスト中にこの設定を変更できます。