NiktoとOWASP ZAPによるWebアプリスキャン

Webアプリケーションは、URLパラメーター、フォームフィールド、Cookie、ヘッダー、ファイルアップロード、APIなど、複雑な攻撃対象領域を公開します。自動スキャナーは、これらすべてを体系的に検査し、一般的な脆弱性を探します。

Niktoは、危険なファイル、古いソフトウェア、安全でないヘッダー、既知のCVEをチェックするコマンドラインWebサーバースキャナーです。高速でシンプルですが、ノイズが多く、ステルス性はありません。

Niktoは検出結果の先頭に+を付けます。公開された管理インターフェース、ディレクトリ一覧、欠落しているセキュリティヘッダー、古いサーバーバージョン、/phpinfo.phpのような危険な可能性のあるファイルを確認します。

OWASP ZAP（Zed Attack Proxy）は、GUIとAPIを備えた高機能なWebアプリケーションセキュリティスキャナーです。プロキシ、スパイダー、アクティブスキャナーとして動作し、手動テストと自動テストの両方に適しています。

ブラウザーがZAPをプロキシ（localhost:8080）として使用するように設定します。ZAPはすべての通信を取得し、サイトマップを構築します。このパッシブフェーズでは、攻撃ペイロードを送信せずに情報を収集します。

スパイダーは、リンクやフォームのアクションをたどってアプリケーションをクロールします。AJAXスパイダーは、JavaScriptを多用するシングルページアプリケーションに対応します。どちらもアクティブスキャン用の完全なサイトマップを構築します。

アクティブスキャナーは、検出したすべての入力に攻撃ペイロード（SQLインジェクション、XSS、パストラバーサル）を送信します。リスクレベルはHigh、Medium、Low、Informationalです。

ZAPは検出結果をアラートにまとめます。各アラートには、リスクレベル、信頼度、影響を受けるURL、使用した攻撃ペイロード、レスポンス内の証拠、推奨される修正方法が表示されます。信頼度が高いほど、誤検知は少なくなります。

ZAPは、パイプラインでの自動スキャン用にDockerイメージを提供しています。zap-baseline.pyスクリプトはCIに適したパッシブスキャンを実行し、zap-full-scan.pyはアクティブスキャンを実行します。

Niktoは、シンプルで高速なコマンドラインツールであり、迅速なチェックやサーバーレベルの問題に適しています。ZAPは包括的なプロキシベースのツールで、複雑なアプリケーションに対応し、アプリケーションレベルの脆弱性やCI統合に適しています。

所有している、またはテストの書面による許可を得ているシステムのみをスキャンしてください。被害を与える意図がなくても、無許可のスキャンは法律（CFAA、Computer Misuse Act）や利用規約に違反する可能性があります。

ZAPのアクティブスキャナーは、パッシブスキャンとどのように異なりますか。

Niktoを使うと、数秒でサーバーレベルの検出結果をすばやく得られます。ZAPは、プロキシによるインターセプト、スパイダー、アクティブ攻撃を備えた、深いアプリケーションレベルのスキャンを提供します。どちらも認可が必要です。成熟したパイプラインでは、デプロイのたびにZAPのベースラインスキャンを自動実行し、リグレッションが本番環境に到達する前に検出します。