// シス担のミカタ
テスト手法

セキュリティテスト せきゅりてぃてすと

セキュリティテストSASTDASTペネトレーションテスト脆弱性診断DevSecOps
セキュリティテストって何をするの？

簡単に言うとこんな感じ！

セキュリティテストは「攻撃者の視点でシステムの穴を探す」テストだよ！コードの脆弱性を自動スキャンしたり、実際に攻撃者のまねをして侵入を試みたりして、本番で悪用される前に問題を見つけるんだ。「リリース直前に脆弱性が発覚して大慌て」を防ぐために、開発サイクルの早い段階から組み込むのがトレンドだよ。

セキュリティテストとは

セキュリティテスト とは、システムの脆弱性・セキュリティ上の欠陥を意図的に発見するためのテスト活動の総称です。

「Shift-Leftセキュリティ」という考え方で、テストフェーズだけでなく設計・実装の早期からセキュリティを組み込むDevSecOpsが主流になっています。

セキュリティテストの主な種類

種類概要タイミング
SAST（静的解析）コードを実行せずにソースコードから脆弱性を検出コーディング中・CI/CD
DAST（動的解析）実行中のアプリケーションに対して攻撃をシミュレートステージング環境
SCA（ソフトウェア構成分析）依存ライブラリの既知脆弱性を検出CI/CD
ペネトレーションテスト専門家が実際に侵入を試みる手動テストリリース前・定期的
ファジングランダムな不正入力でクラッシュや脆弱性を発見開発・CI

SASTとDASTの比較

SAST（静的解析）             DAST（動的解析）
┌─────────────────┐          ┌─────────────────┐
│ ソースコードを分析 │          │ 動作中のアプリを  │
│                 │          │ 外部から攻撃     │
│ ✅ 早期発見       │          │ ✅ 実際の動作検証 │
│ ✅ CI/CDに統合    │          │ ✅ 設定ミスも検出 │
│ ❌ 誤検知が多い   │          │ ❌ 後工程で発見  │
│ ❌ ロジック系は弱 │          │ ❌ 完全網羅不可  │
└─────────────────┘          └─────────────────┘

主なセキュリティテストツール

ツール種別用途
SnykSCA/SAST依存ライブラリ脆弱性の検出
OWASP ZAPDASTWebアプリの動的スキャン
SemgrepSASTカスタムルール対応の静的解析
TrivySCAコンテナイメージの脆弱性スキャン
Burp Suiteペネトレーションプロ向けWebセキュリティ診断

歴史と背景

  • 2001年：OWASP設立、Webセキュリティのベストプラクティスを体系化
  • 2017年：DevSecOpsという概念が広まりCI/CDへのセキュリティ統合が普及
  • 現在：Snyk・GitHubのDependabotなどがデフォルトで組み込まれるように

関連用語