SASTとは何ですか？スタティック・アプリケーション・セキュリティ・テスト （SAST）は、 アプリケーションのソースファイルをスキャンし、根本的な原因を正確に特定し、根本的なセキュリティ欠陥の修復を支援します。静的アプリケーションセキュリティテストの利点 ソースコード、バイナリコード、または、バイトコードの脆弱性を特定し、排除します。静的解析のスキャン結果をリアルタイムでレビューし、推奨事項へのアクセス、脆弱性をより迅速に発見するためのコード行ナビゲーション、共同監査が可能です。統合開発環境（IDE）と完全に統合されています。

Q: OWASPトップ10とは？

OWASP Top 10 Open Web Application Security Project （OWASP ）は、ソフトウェアのセキュリティ向上を目的としたオープンソースのアプリケーション・セキュリティ・コミュニティです。業界標準の OWASP Top10 ガイドラインは、最も重大なアプリケーションセキュリティリスクのリストを提供し、開発者が設計・配備するアプリケーションの安全性を高めるのに役立ちます。

概要

アプリケーションセキュリティは、アプリケーションのライフサイクル全体を通じて、アプリケーションを脅威から保護することを目的としたプロセス、ツール、および実践の規律である。サイバー犯罪者は、組織化され、専門化され、企業アプリケーションの脆弱性を見つけて悪用し、データ、知的財産、機密情報を盗むことに意欲を燃やしている。アプリケーションセキュリティは、顧客、ビジネスパートナー、従業員など、社内外の利害関係者が使用するあらゆる種類のアプリケーション（レガシー、デスクトップ、ウェブ、モバイル、マイクロサービスなど）を保護するのに役立つ。

アプリケーションセキュリティ

なぜアプリケーション・セキュリティなのか？

複数の調査によって検証されているように、成功した侵害の大部分は、アプリケーション層に存在する悪用可能な脆弱性を標的としており、企業のIT部門がアプリケーション・セキュリティについて特に警戒する必要があることを示している。さらに問題を複雑にしているのが、アプリケーションの数と複雑さだ。10年前、ソフトウェア・セキュリティの課題は、デスクトップ・アプリケーションや静的なウェブサイトを保護することだった。現在、ソフトウェア・サプライ・チェーンは、外部委託開発、レガシー・アプリケーションの数、サードパーティやオープンソース、市販のソフトウェア・コンポーネントを活用した自社開発などを考慮すると、はるかに複雑になっている。

企業は、社内で使用されるアプリケーションから、顧客の携帯電話で使用される人気の外部アプリケーションまで、すべてのアプリケーションをカバーするアプリケーション・セキュリティ・ソリューションを必要としている。これらのソリューションは、開発段階全体をカバーし、アプリケーションが使用された後に潜在的な問題を監視するためのテストを提供しなければならない。アプリケーション・セキュリティ・ソリューションは、潜在的な脆弱性や悪用可能な脆弱性についてウェブ・アプリケーションをテストし、コードを分析する能力を有し、さまざまな利害関係者の努力を調整し、コラボレーションを可能にすることによって、セキュリティと開発管理プロセスの管理を支援するものでなければならない。ソリューションはまた、使いやすく導入しやすいアプリケーション・セキュリティ・テストを提供しなければならない。

SAST、DAST、SCAとは？

SASTとは？

スタティック・アプリケーション・セキュリティ・テスト（SAST）は、アプリケーションのソースファイルをスキャンし、根本的な原因を正確に特定し、根本的なセキュリティ欠陥の修復を支援します。

静的アプリケーション・セキュリティ・テストの利点

ソースコード、バイナリコード、バイトコードの脆弱性を特定し、排除する。
静的解析のスキャン結果をリアルタイムでレビューし、推奨事項へのアクセス、コード行ナビゲーションによる脆弱性の迅速な発見、共同監査が可能です。
統合開発環境(IDE)と完全に統合されています。

DASTとは？

動的アプリケーションセキュリティテスト（DAST）は、実行中のウェブアプリケーションやサービスに対する制御された攻撃をシミュレートし、実行中の環境における悪用可能な脆弱性を特定します。

動的アプリケーション・セキュリティ・テストの利点：

悪用可能なものに焦点を当て、すべてのコンポーネント（サーバー、カスタムコード、オープンソース、サービス）をカバーすることで、アプリケーションセキュリティの包括的な視点を提供する。
開発、QA、生産に統合し、継続的な全体像を把握することができる。
動的分析により、ポートフォリオ・リスク（1,000を超えるアプリケーション）を管理するための広範なアプローチが可能になり、リスク管理の一環としてレガシー・アプリケーションをスキャンすることもできる。
機能的なアプリをテストするため、SASTとは異なり、言語に制約されず、実行時や環境に関連した問題を発見することができる。

SCAとは？

ソフトウェア構成分析（SCA）は、アプリケーションで使用されるオープンソースコンポーネントの特定と追跡を支援する自動化されたプロセスです。より堅牢なSCAツールは、すべてのオープンソースコンポーネントのセキュリティリスク、ライセンスコンプライアンス、コード品質を分析することができる。

ソフトウェア構成分析の利点：

組織内のオープンソースコンポーネントを可視化し、理解する（ソフトウェア部品表を提供する）。
セキュリティとライセンスの問題を防止するためのポリシーの自動化。
脆弱性の修正提案とライセンスリスクに関するアドバイス。
オープンソース・プロジェクトの健全性を分析し、貧弱なコミュニティや衰退したコミュニティによるリスクを排除する。

オンプレミス vs SaaS vs マネージド・サービス

アプリケーション・セキュリティ・ソリューションは、サイバーセキュリティ・ソフトウェア（ツール）と、アプリケーションをセキュアにするためのプロセスを実行するプラクティスから構成される。

オンプレミス

アプリケーション・セキュリティ・テスト・ソリューションは、オンプレミス（社内）で運用することができ、社内のチームによって運用・保守される。このアプローチでは、組織がインフラと人員を提供し、アプリケーション・セキュリティ・ソリューションを取得して使用する必要がある。オンプレミスは、アプリケーション・データが第三者と共有されることなく、社外に出ることもないことを保証する。

SaaS

SaaS として提供されるアプリケーション・セキュリティは、ウェブベースのユーザ・インタフェースを備えたクラウドベースのソリューションを提供し、顧客がアプリケーション・セキュリティを構成、実行、管理できるようにする。ただし、インフラ、保守、更新などを提供する必要はない。

マネージドサービス

アプリケーションセキュリティは、アプリケーションセキュリティプロバイダがターンキーソリューションとして提供するサービスを顧客が利用する、マネージドサービスとすることもできる。このアプローチでは、オンプレミス・アプローチの前提条件は必要ないが、SaaSベンダーに部分的または完全に依存する必要があり、ほとんどの場合、アプリケーション・データをベンダーと共有することができる。マネージド・サービスとしてのアプリケーション・セキュリティは、簡単に始めることができ、スケーラビリティとスピードを提供することができる。ハイブリッド導入（オンプレミス、SaaS、マネージドサービスをそれぞれ異なるプロジェクトやプラクティスで併用）は、柔軟性、拡張性、コストの最適化を提供することで、両方の世界のベストを提供することを目的としている。

OWASPトップ10とは？

OWASPトップ10

オープン・ウェブ・アプリケーション・セキュリティ・プロジェクト（OWASP）は、ソフトウェアのセキュリティを向上させることを目的としたオープンソースのアプリケーション・セキュリティ・コミュニティである。業界標準のOWASPトップ10ガイドラインは、最も重大なアプリケーションセキュリティリスクのリストを提供し、開発者が設計・配備するアプリケーションの安全性を高めるのに役立つ。

アプリケーション・セキュリティ・ソリューション

OpenTextのアプリケーション・セキュリティ・ソリューションは、オンプレミス、ホスティング、As-a-Serviceの形態でアプリケーション・セキュリティのテストと管理を提供し、レガシーアプリケーション、モバイルアプリケーション、サードパーティアプリケーション、オープンソースアプリケーションなど、企業のソフトウェアアプリケーションのセキュリティを支援します。

Fortify が提供するサービスには、静的コード解析、動的アプリケーションセキュリティテスト、ソフトウェア構成解析（SCA）、対話型アプリケーションセキュリティテストツールなどがあり、Web アプリ、API、モバイルアプリ、Infrastructure-as-Code、コンテナ、ソフトウェアサプライチェーンのコードセキュリティを提供します。

ソリューションには以下のようなものがある：

OpenText™ Fortify™ Static Code Analyzer- スタティック・アプリケーション・セキュリティ・テスト（SAST） - ソフトウェア開発ライフサイクルの初期段階で、ソースコードのセキュリティ脆弱性を特定し、ピンポイントで検出します。

OpenText™ Fortify™ WebInspect- 動的アプリケーション・セキュリティ・テスト（DAST） - 実行中のアプリケーションに対する実際のセキュリティ攻撃をシミュレートし、複雑な Web アプリケーションとサービスの包括的な分析を提供します。

OpenText™ Fortify™ On Demand- Security as a Service - ソフトウェアのインストールや管理、リソースの追加を行うことなく、シンプル、簡単、迅速にアプリケーションを正確にテストすることができます。

モバイル・セキュリティ- クライアント、ネットワーク、サーバーの3層すべてをテストするモバイル・テスト手法。

OpenText™ Cybersecurity cloud- アプリケーション・セキュリティ・テスト・プログラム全体を可視化する集中管理レポジトリです。セキュリティテスト活動の優先順位付け、管理、追跡を行い、企業全体のソフトウェアセキュリティリスクを正確に把握します。

Application Security

今日から始めましょう。

お問い合わせ

Resources

Gartner® Magic Quadrant™ for Application Security Testing report