質問の歴史
サイバー攻撃の増加に伴い、セキュリティテストの重要性が高まっています。手動テスターでも、標準的な脆弱性を見つける能力が重要です。
問題
多くの手動テスターは、セキュリティの問題を自動化テスターやセキュリティ専門家の責任と見なす傾向があります。これにより、ビジネスにとって致命的な基本的なバグが見逃されることがあります。
解決策
手動セキュリティテストは、通常のユーザーの立場から潜在的な攻撃を再現する試みです：
発見したすべての問題は、必ず「バグレポート」のテンプレートに従って、ステップ、期待される結果と実際の結果、重要度を明記して文書化する必要があります。
主な特徴：
手動でアプリケーション内のすべての重大な脆弱性を特定することは可能ですか？
いいえ。手動アプローチは明らかな脆弱性を見つけることができますが、完全なカバレッジには自動スキャナーとペンテストが必要です。
セキュリティテストのためにログインフォームとパスワードだけを確認するのは十分ですか？
いいえ。データを変更/保存するすべての機能モジュール、APIとの相互作用、ファイルのアップロード、アクセス権の操作を確認する必要があります。
手動セキュリティテストを行う場合、テスターはHTTPリクエストとレスポンスを理解する必要がありますか？
はい。DevTools、Postman、Fiddlerなどのツールを使用することは、手動でセキュリティの問題を見つけるための鍵です。
テスターはXSSの有無を確認するためにシステムへのログインだけをテストし、他のユーザー入力フォームやURLパラメータをテストしませんでした。
プラス面：
マイナス面：
テスターはすべての入力フォームを順にテストし、リクエストのパラメータを変更し、バグレポートに詳細を文書化し、エラーハンドリングについてDevOpsに相談しました。
プラス面：
マイナス面：