ペネトレーションテストのカバレッジを理解する

カバレッジとは、ペネトレーションテストの実行中にAikidoが実際にテストした、発見済みエンドポイントの割合です。

発見（ディスカバリー）の段階では、Aikidoは見つけられるエンドポイント、機能、APIルートをマッピングします。攻撃（エクスプロイテーション）の段階では、自律エージェントが最も関連性の高いターゲットに対して実際の脆弱性をテストします。

カバレッジは、カバー済みエンドポイントを発見済みエンドポイント数で割った比率です。

これは実行中にAikidoが発見したエンドポイントを基にしています。これにはホワイトボックステスト、およびAPI仕様を提供した場合のグレーボックステストが含まれます。

エンドポイントは、1つ以上のエージェントがそれに対して意味のあるセキュリティチェックを実行したときに「カバー済み」となります。

これらのチェックには以下が含まれます。

具体的なチェック内容は、エンドポイントの動作とリスクプロファイルによって異なります。これらの前提は、脅威モデルの**攻撃計画（Attack Plan）**で確認できます。

カバレッジは、ペネトレーションテストの品質を測定するものではありません。

人間のペネトレーションテスターも、すべてのルートをテストするわけではありません。悪用可能な問題を含む可能性が最も高いエンドポイントを優先します。Aikidoも同様です。

パスワードリセットのフローは、静的アセットのルートよりも重要です。管理者操作は、ヘルスチェックエンドポイントよりも重要です。

各ペネトレーションテストには固定のクレジット予算があります。この予算はエージェントの計算時間に変換されます。

エージェントはまず最も価値の高いターゲットにその時間を費やします。すべてのエンドポイントがテストされる前に予算が尽きた場合、残りのエンドポイントは通常最も優先度の低いものです。

その他の一般的な理由:

エンドポイントによっては数千件のリクエストが表示される一方、数件しか表示されないこともあります。これは正常です。

複雑なエンドポイントでは、インジェクションの種類、境界条件、エッジケースをテストするために多くのペイロードが必要です。単純な読み取り専用のエンドポイントでは、数件のリクエストだけで済むこともあります。

リクエスト数が多いことは通常、深いテストが行われたことを意味します。リクエスト数が少ないことは通常、そのエンドポイントの攻撃対象範囲が限定的だったことを意味します。

同じアプリケーションに対する2回の実行でも、カバレッジは異なる場合があります。

Aikidoのエージェントは動的に判断を下します。エージェントは以下のような挙動を取ることがあります。

このばらつきは有用です。異なる実行によって、単一の決定論的なスキャンでは見逃してしまう問題を発見できることがあります。

カバレッジスコアが100%未満であることは、コンプライアンス違反を意味するわけではありません。

SOC 2、ISO 27001、NIS2などのフレームワークは、アプリケーションのペネトレーションテストを要求していますが、100%のエンドポイントカバレッジは要求していません。

カバレッジの最低割合を定める一般的な標準はありません。これは、実際のペネトレーションテストがルート数ベースではなく、リスクベースで行われるためです。

監査担当者は、むしろ以下の点を重視します。

Aikidoのペネトレーションテストは、このワークフローをサポートします。

カバレッジと検出結果の数との間に直接的な関連はありません。

例:

目標は、実際に悪用可能な脆弱性を発見することです。カバレッジ数値を最大化することではありません。

近日中に、Coverage タブに表示される未カバーのエンドポイントに対して追加のエージェントを起動できるようになります。