継続的ペネトレーションテスト

Continuous Pentesting（継続的ペネトレーションテスト）は、変更が発生するたびにアプリケーションを自動的に再テストします。

これは直近のフルアセスメントを基本設定として使用します。その上で、コードの変化に応じて、より小規模で対象を絞ったフォローアップテストを実行します。

料金と利用状況

Continuous Pentesting は利用量に応じた課金となります。各実行は実際に起動されたエージェントの数に基づいており、エージェント1つにつき10クレジットが課金されます。

想定コストを事前に確認するには：

Pricing pageを開きます。
見積もりに含めるリポジトリを選択します。

Pricing page には、Continuous Pentesting の年間見積もりクレジットコストが表示されます。1クレジット = 1米ドル。

これは、過去30日間の Git アクティビティに基づいた年間換算の予測です。アクティビティの変化に応じて変動する可能性があります。

設定されたデプロイまたはスケジュールが発生するたびに、Aikido はまず変更内容をレビューします。セキュリティ上重要な変更に対して必要なエージェントを起動し、最終的に起動されたエージェント数に基づいてクレジットが課金されます。変更が大きいほど起動するエージェント数は多くなり、小さい変更では通常より少なくなります。ドキュメントのみ、テストのみ、その他セキュリティに関係のない変更はスキップされ、コストは発生しません。

年間見積もりについてはPricing pageを、すべての料金オプションについてはPentest Pricingをご覧ください。

Run now, pay later（今すぐ実行、後で支払う）の無料条件（High または Critical の検出結果がなければ支払い不要）は、最初のフルアセスメントにのみ適用されます。Continuous Pentesting の実行には適用されません。詳細はRun now, pay laterを参照してください。

Continuous Pentesting を有効にする

前提条件

Continuous Pentesting を有効にする前に、以下を確認してください。

Manage Pentests 権限を持っていること。
このプロジェクトで少なくとも1回のフルアセスメントを完了していること。
フルアセスメントにリポジトリが接続されていること。
ウォレット残高が1,000クレジット以上であること。

頻度の設定

Pentests に移動し、プロジェクトを開きます。
プロジェクトヘッダーで「Continuous Testing」をクリックします。
頻度を選択します。
- Run on every deploy（デプロイのたびに実行）
  - 接続された各リポジトリについて、テストのトリガーとするブランチを選択します。
  - 複数のコミットを1回の実行にまとめるため、Start Delay を設定します。
- Run on schedule（スケジュールで実行）:
  - 毎日、毎週、毎月、またはカスタム間隔。
  - スケジュールは Continuous Pentesting を有効にした時点から開始されます。
「Enable Continuous Testing」をクリックし、確認します。

仕組み

各サイクルは以下の流れに従います。

Aikido はプロジェクトが実行対象として適格かどうかを確認します。
設定されたブランチの最新コミットと、直近にテストされたベースラインを比較します。
変更が実行をトリガーすべきものであれば、Aikido は新しい継続的アセスメントを開始し、関連するコードの差分を分析します。

無駄な実行や不要な実行を避けるため、Aikido は以下のガードレールを適用します。

トリガーする前に、設定されたStart Delay の時間だけ待機します。
別の継続的実行がまだアクティブな間は、新しい実行を開始しません。
エージェントを起動するために必要な最低ウォレット残高を要求します。

実行が開始されない理由

実行が開始されると予想していたが開始されなかった場合、以下を確認してください。

このプロジェクトについて、まだフルアセスメントが存在しない。
ウォレット残高が1,000クレジットを下回っている。
設定されたブランチで新しいコミットが検出されていない。
最新コミットがまだStart Delay の期間内にある。
別の継続的実行が進行中である。