Webアプリケーション脆弱性テストツール【AppScan】

　ツールの「分かりやすさ」も多くのユーザが評価しており、操作性だけでなくテスト結果やレポート内容も重要視されている。
　AppScanはウィザードで簡単にテスト項目を設定できるなど「操作が分かりやすい」と好評。更に、結果レビュー画面では検知された脆弱性が重要度別にレベル表示されるため、「どこが問題なのかを把握しやすい」という評価も…。Java、.NET、PHPによる修正方法が合わせて提示され、確実な対策をサポート。スキャン結果から各種レポートも生成でき、修正後の回帰テスト状況の分析なども可能だ。

　高度な専門知識が求められる脆弱性対策を確実に行うためにも、こういったツールによるサポート機能には注目しておきたい。

　Webアプリケーションではもはや“当たり前”となっているセッション管理。対応していて当然…と言いたいところだが、どうなっているのだろうか？
　多種多様なテスト環境に応じて柔軟に設定できるというAppScanは、もちろんセッション管理も対応済みだ。セッション情報を記録しログイン状態を監視することで、必要に応じて再ログインを実施。「いつの間にかセッションがタイムアウトし、残りのテストがすべてエラーに…！」といったトラブルを防ぐ。ほかにもFlashを利用したサイトや携帯サイトにも対応しており、今後も新たな技術にいち早く対応していくことが期待できる。

◎東京海上日動システムズ株式会社
　同社は東京海上日動火災保険を中心とした東京海上グループのシステム開発、保守などIT戦略全般を担う。同グループの基幹系システムの大部分はホスト系で構築されていたが、ユーザの利便性向上などからオープン系システムが増加。現在では数十万台の端末を数える代理店オンラインシステム、グループ各社のWebサイトのほか、100種類以上のWebアプリケーションを管理している。

　世間ではWebサイトの脆弱性による情報漏洩などの問題が騒がれており、同社でもこれまで以上にWebアプリケーションセキュリティ強化を模索していた。しかもセキュリティ対策は開発者による属人的な対応に留まっており、「運用でエラーが見つかり、設計からやり直し…」など業務効率が悪いことも課題となっていた。

　機能・実績・操作性を基準に様々なソフトウェアを検証。必要な機能が網羅されており、価格もリーズナブルだったこと、また「協力ベンダ各社のほとんどが使っていた」という実績が決め手となりAppScanを採用した。

　AppScanのテストは通常2〜3時間、大規模なテストであってもわずか数日で終了。手作業で実施した場合には「途方もない時間が掛かる」ということを考えると、作業時間が圧倒的に短縮されたことは間違いない。同社が管理する多くのWebアプリケーションもAppScanにより効率的にテストすることが可能となった。
　また、検出された問題個所はレポートでチェックしてシステムを修正するため、次の開発時には注意してコーディングするようになり、同じバグの発生率も減少。セキュリティ品質だけでなく、開発者の意識向上のきっかけにもなっているという。

⇒ より詳細な導入事例は資料ダウンロードをチェック！