For the complete documentation index, see llms.txt. This page is also available as Markdown.

テストユーザーの設定

IDOR、権限昇格、ロジックバグを含む、最も重大な脆弱性の多くは、ログイン画面の向こう側にあります。それらを見つけるには、AikidoのPentestエージェントにアクセス権が必要です。

複雑なSeleniumスクリプトやプロキシ記録を必要とする従来のツールとは異なり、AikidoはLLM駆動のアプローチを使います。人間のQAテスターに説明するのと同じように、自然言語でエージェントにログイン方法を伝えるだけです。

認証セットの設定方法は次のとおりです。

1

テストユーザーを作成

  1. クリック テストユーザーを追加.

  2. 名前: このセットには説明的な名前を付けてください(例: 管理者ユーザー, 読み取り専用ユーザー, テナントA - マネージャー).

異なる権限レベル間でのBroken Access Control(BAC)をテストするために、複数のペルソナを設定することを推奨します。

2

ログイン手順を提供

これは最も重要なステップです。 認証手順 フィールドに、ログインフローの手順を段階的なテキストで記述してください。

AIエージェントはこれを解析して、特有のUIの癖を回避します。具体的に書いてください。

記入例:

移動先: staging.app.com/login

"Log in with Username" をクリック

ユーザー名を入力: pentest_admin

パスワードを入力: super_secure_password_123

"Sign In" ボタンをクリック

AIエージェントは標準的なCaptchaを自動で解決できるようになっています。スキャンのためにこれらを無効化したり、個別の手順を与えたりする必要はありません。

3

設定をテスト

最後に、エージェントがあなたの指示を正しく解釈できるか確認してください:

  1. クリック 保存してテスト.

  2. エージェントはブラウザーセッションを起動し、認証情報と受信トレイの指示を使ってログインを試みます。

  3. 成功すると、エージェントが認証され、ログイン後の状態に到達したことを示す確認が表示されます。

高度なログインフロー

アプリケーションが単純なユーザー名とパスワード以上を必要とする場合は、専用ツールを使用してください:

ベンダー固有の認証フロー:

  • Google Auth: Google Workspaceのログインフローをネイティブにサポートする機能がベータ版で利用可能です。

  • Microsoft Auth: 二段階認証付きのMicrosoftアカウントのサポート。

  • Auth0設定: 複数エージェント間でのセッション共有をサポートするために必要なOAuthプロバイダー設定。

OAuthおよびJWTアプリ

Aikido Pentestは、多数のエージェントを並列で実行し、テストユーザーごとに1つの認証済みセッションを共有します。同じリフレッシュトークンがエージェント間で再利用され、評価期間中そのセッションが維持されます。

これを確実に動作させるには、IDプロバイダー(Auth0、Cognito、Azure AD / Entra ID、Keycloak、カスタムOIDCなど)を次のように設定する必要があります:

  • リフレッシュトークンは再利用可能であること。 一度しか使えないリフレッシュトークンと、交換時に前回のトークンを無効化するリフレッシュトークンローテーションを無効にしてください。

  • リフレッシュトークンの有効期限が評価期間を超えていること。 一般的なペンテストは数時間実行されることがあるため、有効期限をそれに応じて設定してください(例: 7200秒より長く)。

  • 短命のアクセストークン(JWT)は問題ありません 上記のルールに従ってリフレッシュが機能する限り。

Auth0については、 Auth0設定にある手順ごとの設定に従ってください。同じチェックリストは他のOIDCプロバイダーにも適用できます。

ベストプラクティス

  • 本番環境の認証情報を使わない: ペンテストは必ずステージングまたはQA環境で実行してください。スキャナーはデータを破損させる可能性のある侵入的なテストを行います。

  • 専用のテストアカウントを作成: 個人の開発者アカウントは使用しないでください。スキャナー用の専用アカウントを作成してください(例: [email protected]).

  • すべてのテナントを網羅: アプリがマルチテナントの場合は、異なるテナントのユーザーの認証情報を追加してください(例: ユーザー - テナントA, ユーザー - テナントB)。これにより、AIはテナント間のデータ漏えいをテストできます。

トラブルシューティング

認証は起動直後の 事前チェック で検証されます。エージェントの画面をリアルタイムで確認して、成功したかどうかを見られます。

エージェントがログインに失敗した場合:

  • 失敗を確認: エラーログ内のエージェントのスクリーンショットを確認し、どこで止まったのかを正確に把握してください。

  • サニティチェックの手順: 提供した手順をシークレットウィンドウで手動でたどってください。手順を飛ばしたり、ボタンの表示が不明瞭だったりすると、エージェントは苦戦する可能性があります。

  • アクセシビリティを確認: URLは公開インターネットから到達可能ですか?(IPホワイトリストを確認してください)。

  • アカウントの状態: テストユーザーがロックアウトされていないことを確認してください。

最終更新

役に立ちましたか?