コードとドキュメントの活用
ブラックボックステストは盲目的です。ホワイトボックステストは精密です。リポジトリを接続してシステムに完全な可視性を与え、コンテキストボックスとファイルアップロードでギャップを埋めましょう。
リポジトリを接続することは、実施できる中で最もインパクトの大きいステップです。外部からエンドポイントを探るだけでなく、システムは実際のソースコードを解析し、アプリケーションがどのようにデータを処理するかを理解します。
- 重要な理由: 外部スキャンでは決して発見できない、深いロジックの脆弱性を検出できます。
- 選択すべき対象: スコープに関わるすべてのリポジトリ（フロントエンド、バックエンド、IaC）を含めてください。
- 1つのペンテストにつき最大6リポジトリまで接続できます。この上限により、単一アプリケーションに対してペンテストが最適に構成されることが保証されます。関係のないサービスをスコープに詰め込みすぎると、分析の深さが薄まる可能性があります。
- もっと必要な場合は？ アプリケーションが6を超えるリポジトリに依存している場合は、サポートチームまでご連絡ください。ユースケースに応じて上限を引き上げることが可能です。
- 結果: システムはソースコードから直接ルートとロジックをマッピングします。APIの構造を推測する必要はなく、それを読み取ります。
リポジトリからパスを除外する
Section titled “リポジトリからパスを除外する”モノレポの場合、リポジトリごとに特定のパスを除外し、ペンテストをスコープ内のサービスに絞り込むことができます。除外したパスは Rightsized のクレジット見積もりからも除かれるため、推奨クレジット数はテスト対象のコードのみを反映します。
データのアップロード
Section titled “データのアップロード”ファイルは、コードだけでは明らかにならない構造的な要素をカバーします。
- OpenAPI仕様（JSON / YAML）: システムにAPI全体の完全なマップを提供します。これにより、クロールできるエンドポイントだけでなく、すべてのエンドポイントに対してやり取りし、攻撃を行うことが保証されます。
- オフラインドキュメント（README.md / 仕様書）: 対象とその脅威モデルに関する深いコンテキストをシステムに提供し、意図された設計と実際の脆弱性を区別する助けとなります。
- ユーザーロール定義: サポートされているロール（Admin と Viewer など）とその具体的な制約の一覧です。システムはこれを使用して、特定のユーザーが アクセスできてはならない 対象を厳密にテストします。
- ワークフローと全体構造: 「Checkout」や「Onboarding」のような複雑なフローや、アプリの全体構造の説明です。
- 過去のペンテストレポート（PDF）: システムに過去のデータを提供します。これを使用して過去の修正を検証し（リグレッションテスト）、コード内の他の箇所でそれらの特定のバグの類似パターンを探します。
コードは構文を示しますが、必ずしも意図を示すとは限りません。このテキストボックスは、リポジトリやドキュメントに明示的に定義されていない価値ある情報のために使用してください。
- ビジネスロジック: バグのように見えるが実際はそうではないルールを説明します（例:「管理者はすべてのユーザーデータを閲覧できる」）。
- アーキテクチャの特殊事情: 「OAuthの独自実装を使用している」「このサービスではデータベースが読み取り専用である」など。
- 既知のギャップ: 「リポジトリ内のAPIドキュメントは、決済サービスに関してやや古くなっている」など。
ドキュメントリンクの追加
Section titled “ドキュメントリンクの追加”ドキュメントがオンラインで一般公開されている場合は、URLを直接追加できます。
