Android アプリの Pentest 設定

Aikido Pentest はホワイトボックステストにより、ネイティブおよびハイブリッドの Android アプリを評価できます。Android アプリのソースコードを含むリポジトリを接続する必要があります — ブラックボックスの Android pentest は現時点ではサポートされていません。アプリケーションタイプのステップでAndroidにまだアクセスできない場合は、右下のIntercom chatを開いてください。チームがワークスペースの早期アクセスを有効化します。

前提条件

開始する前に、以下を確認してください:

Manage Pentests の権限
ウォレット内の十分なクレジット
Aikido に接続できるリポジトリ内のAndroid アプリのソースコード（ホワイトボックステストに必須）
アップロード準備済みのテスト用 APK（最大 500 MB、証明書ピンニング、root 検出、エミュレータ検出なし）

Android アセスメントの作成

Android を選択

Pentests に移動し、Project を開いてCreate Assessmentをクリックします。What Are You Pentesting? ステップでAndroidを選択します。

テストスコープの定義

Scope ステップで、アプリにバックエンド API がある場合は、その URL（例: https://api.application.com）を追加し、Aikido がアプリの使用するエンドポイントをテストして適切なカバレッジを確保できるようにします。次に、APK（最大 500 MB）をアップロードします。アプリは証明書ピンニング、root 検出、エミュレータ検出を使用してはいけません。Aikido はパッケージ名を自動的に抽出します。

評価したいアプリの範囲に応じて、Test entire application またはTest specific parts onlyを選択してください。

テストユーザーの追加

管理者、標準ユーザー、他のテナントのユーザーなど、Aikido にテストさせたい各ロールについてテストユーザーを追加します。ユーザー名とパスワードによる認証の場合、Aikido はログイン URL の代わりに Android アプリのパッケージ名を使用します。

ログインのプリフライトチェックを使用すると、評価を開始する前に Aikido がアプリにアクセスできることを確認できます。詳細なガイダンスについては、テストユーザーの設定を参照してください。

アクセス、コンテキスト、安全性の設定

ウィザードの残りのステップを設定します:

Allowed Domains – テスト中にアプリがアクセスする必要のあるドメインを許可します。
Code & Documentation – 必須: Android アプリのソースコードを含むリポジトリを接続します。Aikido はホワイトボックス Android pentest のみをサポートしているため、コードベースが添付されていないと評価を実行できません。追加のコンテキストとして、バックエンドリポジトリをリンクしたり、ドキュメントを追加したりすることもできます。コードとドキュメントの活用を参照してください。
Safety Check – リクエストレートと許可されるテスト実施時間を設定します。安全対策を参照してください。
Pricing – 評価プロファイルを選択し、クレジットコストを確認します。Pentest の料金を参照してください。

確認と開始

Summary ステップで、Android App のパッケージ名とその他の設定内容を確認し、Run Assessmentをクリックします。

結果の確認

評価を開いて進捗を確認し、Issues タブをレビューします。Android の検出結果は、機密データの取り扱い、ネットワークセキュリティ、プラットフォームとの連携、WebView のセキュリティ、クライアント側の認証、暗号化、ビルド設定などの領域をカバーします。

評価が完了すると、評価から PDF をダウンロードできます。利用可能なレポートの種類については、Pentest レポートを参照してください。

サポートが必要ですか？

アプリがテスト可能かどうか不明な場合や、アクセスの設定についてサポートが必要な場合は、右下のIntercom chatを開いてください。チームがサポートいたします！