ペンテストの準備
ペンテストを始める前に、環境を準備する必要があります。これらの一度きりの手順により、Aikidoのエージェントがブロックされることなく安全にアプリへアクセスし、意味のある評価を実施できるようになります。
素早くセットアップできるよう、このチェックリストに従ってください。
テスト環境を準備する
実稼働環境への影響を避けるため、ペンテストは本番以外の環境（例：ステージング）で実施してください。
- 本番環境を再現: 設定が本番のアーキテクチャと一致していることを確認してください。
- 安全なデータ: ダミーデータのみを使用してください。実際の顧客PIIは使用しないでください。
- 完全に機能する状態: すべての機能と統合を有効にしてください。
ガイドを見る: テスト環境を使う理由
AikidoのIPを許可リストに追加
お使いのセキュリティツールは、通常、当社のテスト用エージェントをブロックします。これを防ぐには、 Aikido の IP アドレス を次の場所で許可リストに追加してください:
- ネットワークファイアウォール: 受信トラフィックを許可してください。
- WAF: ブロックルールとレート制限ルールを無効にしてください。
- Bot対策: 行動ベースのブロックとレート制限を無効にしてください。
テストアカウントを準備する
認証が必要なパスを当社のエージェントがテストできるように、ステージング環境に専用のテストユーザーを作成してください。
- 役割: 少なくとも1つの 管理者 と1つの 標準ユーザー を作成して、権限昇格をテストしてください。
- マルチテナント: 該当する場合は、データ漏えいを確認するために、異なるテナント（例：Tenant A と Tenant B）にユーザーを作成してください。
ガイドを見る: テストユーザーの設定
コードを接続する
ホワイトボックステストでは、はるかに深い脆弱性を発見できます。ソースコードリポジトリをAikidoに接続すると、当社のエージェントがアプリケーションロジック全体を把握できるようになり、より正確で影響の大きい検出が可能になります。
推奨: アプリケーションに関連するすべてのリポジトリをAikidoに接続してください。
ガイドを見る: リポジトリを接続する
リポジトリを接続できませんか？
リポジトリへの直接アクセスができない場合でも、API仕様書やその他の内部ドキュメントなどの補助資料を提供することで、カバレッジを改善できます。ガイドを見る: コードとドキュメントの活用
所有権を確認する
悪用を防ぐため、攻撃を開始する前に所有権の証明を厳格に求めています。
- 確認方法: 現在、この手順はペンテストウィザードに統合されています。新しいペンテストを開始し、最終ステップまで進むと、DNSまたはファイルによる確認オプションが表示されます。
よくわかりませんか？ 複雑な認証フローやアーキテクチャ上の制約がある場合は、右下のIntercomチャットを開いてください。リアルタイムで準備をお手伝いできます。