HCLSoftware (Japan) Blog

アプリケーション・セキュリティ・テストの動向

2024/2/19 - 読み終える時間: ~1 分

Trends in Application Security Testing の翻訳版です。

アプリケーション・セキュリティ・テストの動向

2024/02/12

著者: Cristina Suchland / Integrated Marketing Manager, Secure DevOps

アプリケーション・セキュリティ・テストは、DevSecOps の実践において、ウェブ上での大規模なデータ共有に伴うリスクを軽減するために、ますます重要な役割を果たしています。アプリケーション・セキュリティ・テスト技術の使用（または不使用）について、専門家が経験した成功と課題をよりよく理解するために、HCLSoftwareは2023年秋に45,000人以上の専門家にアンケートを実施しました。

本レポートの調査結果は、企業によってセキュアなソフトウェア開発に対するニーズや戦略がいかに異なるか、また、ベンダーの統合、人工知能、最新のデプロイメント・モデルの問題については、かなりのコンセンサスが得られていることを浮き彫りにする鋭い洞察を提供しています。

本調査の主なハイライトをいくつか紹介しよう。

ベンダーの統合

ベンダーの嗜好について質問した企業のうち、かなりの 85 パーセントが、使用しているアプリケーション・セキュリティ・テスト・ベンダーの数の統合をすでに完了している。より一元的なセキュリティ戦略を実現するための単一プラットフォーム・ソリューションに対する選好が、最善のスタンドアローン・テクノロジを購入したいという希望を大きく上回った。

人工知能（AI）

回答者の大多数（38％）は、AIが、異常検知やカバレッジの拡大など、アプリケーションセキュリティの他の分野よりも、テストの自動化に影響を及ぼすと考えている。興味深いことに、この調査結果によると、自動修復は、アプリケーション・セキュリティにおいて影響が少ない分野の1つになりつつある。

展開モデル

今年の調査における明確な傾向は、アプリケーション・セキュリティ・テストにおけるクラウドおよびクラウドネイティブのデプロイメント・モデルへの移行である。自社のソフトウェアが完全にオンプレミス（自己管理型）にデプロイされていると回答したのは31パーセントにとどまったが、一般的なハイブリッドデプロイメント戦略の一環として、セキュリティの側面は依然としてオンプレミスで処理されている。このような戦略には、プライベート・クラウドで異なるセグメントのデータをテストし、パブリック・クラウドで他のデータをテストすることが含まれます。

本調査の全結果と主な調査結果をご覧いただき、変化の激しいデジタル環境で起こっているアプリケーション・セキュリティのトレンドについて理解を深めてください。

2023 Application Security Testing Trends Report を今すぐ入手してみてください。

モバイルアプリのセキュリティテストは上昇の一途をたどる

2024/2/19 - 読み終える時間: ~1 分

Mobile Application Security Testing Continues Upward Trajectory の翻訳版です。

モバイルアプリのセキュリティテストは上昇の一途をたどる

2024/02/12

著者: Nabeel Jaitapker / Product Marketing Lead, HCLSoftware

モバイル・デバイスの存在感の増大とサイバー脅威の複雑化により、モバイル・アプリケーション・セキュリティ・テスティング・ソリューションに特化した成長が促進されている。

最近のレポートによると、モバイルアプリケーションの使用量の増加、安全なアプリケーションを義務付ける規制遵守、迅速な開発サイクルにより、世界のモバイルアプリケーションセキュリティテスト市場は2028年までに32億ドルに達すると推定されている。

MarketsandMarketsが発行したこのレポートは、セキュリティテストソリューションに対する需要の背景には、サイバー脅威と攻撃手法の絶え間ない進化があるとしている。また、技術の進歩に伴い、採用される悪意のある手口も高度化しており、モバイル・アプリケーションや機密データへのアクセスを危険にさらしている。

このような状況に対処するため、本レポートでは、脆弱性が悪用される前に脆弱性を特定し対処することで、新たな脅威の一歩先を行く定期的なセキュリティテストを推奨しています。このアプローチは、（マルウェア、フィッシング、コードインジェクションなどの攻撃がますます巧妙化する中で）ダイナミックに変化し続けるサイバーセキュリティの状況において、組織を支援します。

モバイルアプのセキュリティテスト

モバイルアプリケーションのセキュリティテストは、アプリケーションのセキュリティコントロールが期待通りに機能することを確実にするための、本番前のチェックと考えることができ、同時に、実装上のエラーから保護します。このテストは、開発チームが予期していなかったエッジケース（セキュリティバグになる）を発見するのに役立ちます。

このプロセスは、市場に導入する前にアプリケーションの堅牢性を確保することを目的とする企業にとって不可欠です。

効果的なセキュリティテストは、アプリの意図された目的と扱うデータの性質を包括的に理解することから始まります。静的解析（SAST）、動的解析（DAST）、対話型解析（IAST）の組み合わせを採用することで、組織は、単独のテスト手法では容易に特定できない脆弱性を明らかにする全体的な評価を得ることができます。

HCL AppScanは、ソフトウェア開発ライフサイクルの各段階において、アプリケーションの脆弱性をピンポイントで特定し、迅速な修復を可能にする一連の技術により、開発者、DevOps、セキュリティチームを支援します。さらに、クラス最高のテストツール、一元化された可視性と監視機能、オンプレミス、オンクラウド、クラウドネイティブを含む複数の導入オプションによりアプリケーションを保護することで、企業と顧客の保護を支援します。

HCL AppScan のアプリケーション・セキュリティ・テスト・ソリューション・ポートフォリオは、SAST分野のトップベンダーの中で、強力なパフォーマーとして評価されています。この評価は、今日の速いペースのデジタル+エコノミーにおいて、開発者に力を与え、コードセキュリティを強化するトップレベルのソリューションを提供することへの揺るぎないコミットメントを強調するものです。

HCLSoftwareの強力なパフォーマーとしてのランキングの詳細については、最近発表された Static Applications Security Testing (SAST) の Forrester Wave をご覧ください。

HCL AppScan Fix Groups でアプリケーションコードをより早く脆弱性から守る

2024/2/19 - 読み終える時間: 2 分

Secure Application Code Against Vulnerabilities Faster with HCL AppScan Fix Groups の翻訳版です。

HCL AppScan Fix Groups でアプリケーションコードをより早く脆弱性から守る

2023/12/20

著者: Itay Levin / Design Lead for HCL AppScan

静的アプリケーション・セキュリティ・テスト（SAST）は、ウェブ・アプリケーションとAPIのソースコードをスキャンし、セキュリティ・リスクになり得る脆弱性を探します。この種のコードスキャンに関する根強い課題の1つは、これらのツールが膨大な数の発見をもたらす可能性があることです。これらの発見のうち、どれが修正が必要な重大な脆弱性であるかを見極めるのは、困難で時間のかかる作業になりかねません。

HCL AppScanには、スキャン結果の数を劇的に減らし（数千件から数百件に）、誤検出を実質的に排除する内蔵AIをはじめ、こうした課題を解決するためのソリューションが多数用意されています。

HCLSoftwareのクラウドおよびクラウドネイティブプラットフォーム（HCL AppScan on CloudおよびHCL AppScan 360°）の両方にFix Groupsが追加されたことで、トリアージと修復の時間が大幅に改善されました。

HCL AppScan がサポートする 3 種類の修正グループ

共通修正ポイント - この修正グループは、.NetやJavaのようなコンパイル済みの言語で、静的スキャナがデータ・フロー解析を実行してトレース結果を生成する場合に適用されます。この修正グループは、トレースが共通のノードを介して流れる同じ脆弱性タイプのすべての発見を組み合わせます。その共通ノードの問題を修正することで、この修正グループ内のすべての発見が解決される。
共通 API - 共通APIグループは、プロジェクト全体で使用されている特定のAPIに関連するすべての発見を集める。これらの問題は、別のAPIを使用するか、元のAPIの使用方法を変更することで、グループとしてまとめて解決できます。
共通オープンソース - オープンソースグループは、脆弱性のあるライブラリに関連するすべての問題を表示します。ライブラリの脆弱性が特定されると、関連するすべての問題は、ライブラリを更新するか変更することで、グループとして修正できます。

異なる修正グループの使用方法

修正グループのメインビュー

新しい「修正グループ」ビューには、優先順位付けプロセスにおいて修正グループの作業がどの程度効率的になるかを理解するための 2 つの KPI があります。実行される修復タスクの総数、およびそれらのタスクに関連するグループで見つかった問題の総数です。

画像の説明

新しい修正グループのデザインでは、UIが改善され、グリッドが表示されるようになりました。列は、修正グループのタイプ、重大度、ポリシーなどで並べ替えられます。

画像の説明

このレビューで行を選択すると、修正グループの詳細ドロワーが開き、複数のコメントを追加したり、各修正グループの監査を表示したりできます。

画像の説明

修正グループの課題

修正グループの課題ビューが更新され、各グループに関連する課題を確認できるようになりました。詳細は画面上部に表示され、コメントを表示または追加できます。修正グループのissueの表は、各修正グループのタイプに関連する列で再編成されました。例えば、共通修正ポイントではソース、シンク、ファイル名が、共通APIではコンテキストとファイル名が、オープンソースCVEでは場所が表示されます。

画像の説明