Webアプリケーション脆弱性診断の検査対象をどう絞り込めばよいか

ソニーDNAさんの『入門！基礎からわかる「失敗しないWeb診断業者の選び方」』というブログ記事を読みました。 全体的に穏当な内容で異論はないのですが、興味深い内容なので、屋上屋を架すようですが少し追加して考えてみたいと思います。 私が特に注目したのは以下の箇所です。 2. 検査対象を適切に絞れるか？ セキュリティ対策をくまなく実施できれば安心ですが、それは大きな費用がかかり現実的ではないというケースも多いでしょう。そのため、Web診断では検査対象を適切に絞り込むことが必要です。ログイン画面や課金機能、個人情報管理機能など、セキュリティ対策が特に求められる機能を重点的に検査するには、検査対象を明確にすることが重要になります。 上記の考え方は、脆弱性診断の現場でよく行われているもので、筆者もこれに従うことは多いのですが、検査対象の選定は重要なのでもう少し掘り下げて考えてみたいと思います。 脆弱

[itochan]

「認証機能の不備」と「認可機能の不備」のレベルが違うのはなんとなくわかるけれど、　「認証機能の不備」と「CSRF脆弱性」のレベルの違いがよくわかってない。　難しい。

[kkeisuke]

“脆弱性の影響範囲”

[longroof]

はい( ；´Д｀)

[jaguarsan]

ユーザー企業が画面遷移図やDB接続箇所を示してくれるかによって大分見積り変わる。「仕様よくわかりませんw」とか「動かない機能ありますw」みたいな酷いとこだと工数MAXで見積もる

[latteru]

“ ”