セキュリティ
DAST（動的アプリケーションセキュリティテスト）
Dynamic Application Security Testing
読み：だすと
動作しているアプリへ要求などを与え、応答や挙動から安全性の弱点を調べる検査です。
01初心者向け
まず意味をつかむ
実際に動く画面やAPIを外側から試し、危険な応答や設定を確認します。ソースコードの解析とは違う観点で、配備した状態の問題を発見します。
02実務者向け
仕事でどう使うか
試験対象と許可範囲を決め、必要な認証状態や代表的な操作経路を用意します。データ破壊等の影響を抑えた環境で実行し、再現条件と修正後の結果を記録します。
03専門家向け
判断を一段深める
検査が到達できた経路や状態しか評価できません。認証後の機能や複雑な業務権限を十分に通れない場合もあるため、カバレッジを説明し、手動検証や静的検査を補完的に用います。
IN PRACTICE
具体例で考える
架空の検証用サイトで、一般利用者と管理者の二つの状態を用意し、各APIの応答と権限判定を検査して差を確認します。
理解を助けるための架空の例です。試験環境と経路
要求と応答を検査
再現・修正・再確認
実行時の検証の関係を示し、検査範囲の完全性は保証しません。
ここは誤解しやすい
ツールが完了したことを、すべての業務シナリオと権限組合せを検証した証拠にはしないようにします。
この知識を、組織の力へ。