ペンテストの準備
ペンテストを開始する前に、環境の準備が必要です。これらの一度限りの手順により、Aikidoのエージェントがブロックされることなく安全にアプリへアクセスし、意味のある評価を実施できるようになります。
以下のチェックリストに従って、素早くセットアップを完了させてください。
1. テスト環境を準備する
Section titled “1. テスト環境を準備する”本番環境への影響を避けるため、非本番環境（例: Staging）でペンテストを実行してください。
- Mirror Production: セットアップが本番のアーキテクチャと一致していることを確認してください。
- Safe Data: ダミーデータのみを使用してください。実際の顧客のPIIは使用しないでください。
- Fully Functional: すべての機能とインテグレーションを有効にしてください。
2. Aikido IPを許可リストに追加する
Section titled “2. Aikido IPを許可リストに追加する”お使いのセキュリティツールは、当社のテストエージェントをブロックする可能性が高いです。これを防ぐため、Aikido IPsを以下で許可リストに追加してください。
- Network Firewall: インバウンドトラフィックを許可してください。
- WAF: ブロックルールとレート制限ルールを無効にしてください。
- Bot Defense: 挙動ベースのブロックとレート制限を無効にしてください。
3. テストアカウントを準備する
Section titled “3. テストアカウントを準備する”エージェントが認証済みのパスをテストできるよう、ステージング環境専用のテストユーザーを作成してください。
- Roles: 権限昇格をテストするため、少なくとも1人のAdminと1人のStandard Userを作成してください。
- Multi-Tenancy: 該当する場合、データ漏洩をチェックするため、異なるテナント（例: テナントA対テナントB）にユーザーを作成してください。
ガイドを見る: テストユーザーの設定
4. コードを接続する
Section titled “4. コードを接続する”ホワイトボックステストでは、はるかに深い脆弱性を発見できます。ソースコードリポジトリをAikidoに接続することで、当社のエージェントはアプリケーションロジックを完全に可視化でき、より正確で影響力のある検出結果が得られます。
Recommended: アプリケーションに関連するすべてのリポジトリをAikidoに接続してください。
ガイドを見る: リポジトリを接続する
リポジトリを接続できない場合は？
直接リポジトリへアクセスできない場合でも、API仕様書やその他の内部ドキュメントなど、補足資料を提供することでカバレッジを改善できます。
ガイドを見る: コードとドキュメントの活用
5. 所有権を検証する
Section titled “5. 所有権を検証する”不正利用を防ぐため、攻撃を開始する前に所有権の証明を厳格に求めています。
- How to verify: 現在、この手順はペンテストウィザードに組み込まれています。新しいペンテストを開始し、最終ステップまで進むと、DNSまたはファイルによる検証オプションが表示されます。
**確信が持てない場合は？**複雑な認証フローやアーキテクチャ上の制約がある場合は、右下のIntercomチャットからご連絡ください。リアルタイムで準備をサポートします。