手動診断でしか見つからない脆弱性の話

こんにちは、どこぞのセキュリティエンジニアのひよっこです。 今回は、Red Team所属として生業としている脆弱性診断の強みでもある手動診断について、自動スキャンとの違いを交えながらお話しします。 目次 はじめに 自動スキャンが得意なこと 自動・手動・コードレビューの役割分担 自動スキャンが見落とすもの 1. ビジネスロジックの脆弱性 2. 複雑な IDOR（水平権限昇格） 3. 競合状態 4. 多段階の攻撃チェーン 5. 認証フローのバイパス 6. SSRF の複雑なケース 手動診断のアプローチ 手動診断にも限界はある まとめ 参考資料 はじめに 「脆弱性診断ツール、導入してますよ」 そう言われることがあります。ZAP や Burp Suite などの自動スキャン、確かに有効なツールです。 でも、手動診断をしていると、ツールがまったく反応しなかった箇所に深刻な脆弱性が潜んでいることが珍し