安全対策

ペンテストが環境に与える影響を最小限に抑えるため、以下の安全機構が備わっています。

想定スコープ外でのペンテストの防止

設計上、ペンテストエージェントは、ペンテストのセットアップ時に明示的に承認されていないドメインにはアクセスできません。2つのセキュリティ境界が設けられています。

Attackable domains（攻撃可能ドメイン）: ペンテスト中に能動的に攻撃可能なドメイン
Accessible domains（アクセス可能ドメイン）: 能動的に攻撃すべきではないが、使用は許可されるドメイン。

以下の設定例では、エージェントはattack-me.com配下の指定されたサブドメインを攻撃でき、auth.provider.comを使用できます。それ以外のすべてのドメインはブロックされます。

ペンテストの一時停止またはキャンセル

Cancelはアセスメントを永久に停止し、再開はできません。起動から数分以内にキャンセルした場合を除き、その実行で使用されたクレジットは返金されません。攻撃を停止して同じアセスメントを後で継続したい場合は、代わりにPauseを使用してください。

Pauseは、アセスメントを開いたまま攻撃エージェントを一時的に停止します。Resumeでテストを再開します。Pauseは、エージェントが実際に攻撃を行っている間のみ利用可能です - スケジューリング、コードベース分析、アクセスチェック、Discoveryの段階では利用できません。各アセスメントは手動で最大3回まで一時停止できます。

Aikidoは、ブロックされたリクエストやログインの問題など、対応が必要な事態が発生した場合、自動的にアセスメントを一時停止することもあります。アセスメントページでステータスを確認し、指示された対応を行った上で、準備ができたらResumeをクリックしてください。

サーバー高負荷の緩和

サーバー負荷による潜在的な影響を最小化するため、セットアップではペンテストが生成する1秒あたりの最大リクエスト数の設定と、営業時間内または時間外に実行するオプションを設定できます。

この設定は、ペンテスト起動後でも変更可能です。