自社のホームページやECサイトを始めとして、多くの企業がWebアプリケーションを所有している。また、社内システムもWebアプリケーションで提供されるものがほとんどである。

こうしたWebアプリケーションに潜む脆弱性を可視化するソリューションがTenable.ioのWeb Application Scanning(以下WAS)である。

WASの特徴は大きく二つある。 継続的スキャニングが出来ることと、自動的にスキャニングが出来ることである。 最近はWebアプリケーションの開発にCI／CDを取り込む企業が増えているため、Webアプリケーションの更新頻度が非常に高いが、継続的かつ自動的なスキャンを行うWASであれば診断を継続的かつ自動的に実施するため都度マニュアル操作による診断を実施する必要がない。

今回はこのWASを実際に設定しWebアプリケーションの診断を行ってみる。

まず、Tenable.ioにログインした後、他のスキャン設定と同様にスキャンテンプレートを選択する。下図にあるようにWeb Applicationのタブをクリックすると、三種類のテンプレートが表示される。

このうち”Legacy Web App Scan”とあるのは第一回目の記事でお伝えしたプラットフォーム診断で使用されるテンプレートで、WordpressやJoomla!などが抱えている既知の脆弱性を発見するためのテンプレートである。

今回は”Web App Scan”を選択する。

下図が設定画面である。

プラットフォーム診断の設定と異なるのは、Targetの欄にIPアドレスを指定するんではなく、URLを指定するところである。

最低限、任意のスキャン名とTargetとなるURLを指定すれば、あとはスキャンの実行を行うだけである。

結果は下図の通りである。一つのCriticalな脆弱性が発見され、10個のHighの脆弱性が見つかった。

WASでは、OWASP TOP 10 2017をベースに診断を行っているため、Webアプリケーションにおける重要な脆弱性がどの程度存在しているのかが一目で確認出来るようになっている。

また、Tenable.ioでは各資産情報をAssetと呼び管理しているが、各Assetが持っているリスク情報に関して一元的に管理出来るため、システム管理者の運用の手間が省ける。

以上見てきたように、Tenable.ioのWASの機能を用いることでWebアプリケーションにおける重要な脆弱性を自動的に収集出来ることがお分かりになっただろう。

次回はパッシブ型のスキャナであるNNM(Nessus Network Monitor)についてご紹介したい。

技術者が語るサイバーエクスポージャーのすすめ

第4回はこちら

連載一覧はこちら

サイバーエクスポージャーとは?

本記事は、Tenable Network Security Japanによる寄稿記事です。

[PR]提供：Tenable Network Security Japan