views4GCPのストレージサービスについてまとめてみた。ToolTweetShareHatena注意この記事は2015年3月3日に更新されたもので、内容が古い可能性がありますのでご注意ください。Toolが利用出来るようになりました。ついては、GAEウォッチャーとして取り急ぎ試してみたので、紹介記事の和訳と実際動かした感想を掲載致します。感想1.和訳(原文)新しいビルドのデプロイするときはわくわくする。リリースのたびにセキュリティ脆弱性をテストしなくてはならないのは大変である。Engineの開発者たちにとって必ずしもふさわしいものではなかった。positive)しすぎがちで(このためいらないものをフィルターしたり優先度の高いものを選別するのに時間を食われる)さらに、これらのセキュリティスキャナーは、開発者向けではなく、セキュリティ専門家向けに作られている。Scannerのベータ版がリリースされた。content)の診断を簡便に済ますことができる。Scannerの主要な特徴は以下の3つである。簡単にセットアップでき使えるツールである。positives)を最小限に抑えて検出できる。ヘビーにJavaScriptを使用しているウェブアプリケーションに対応している。scansと進んで(詳細)、Runをクリックするだけである。仕組みはどうなっている?多段のユーザーインターフェースを持つ、最近のJavaScriptを多用したアプリケーションをクロールして、脆弱性テストをするのは、典型的なHTMLページの場合より遥かに大変である。これを遂行するにあたって、2つの一般的なアプローチがある。HTMLをパースして、ブラウザーをエミュレートする。これは、高速だが、完全なDOMや複雑なJavaScript操作を必要とするようなサイトアクションを見逃す可能性がありうるため検出の確実性が落ちる。本物のブラウザーを使う。この方法は、本当のウェブサイト閲覧にもっとも近い。イベント発生>動的実行>DOMが生成されるのを待つなどで脆弱性スキャン実行が遅くなりうる。Scannerはマルチステージパイプライン手法でこれらの両問題を克服している。スキャナーは高速にHTMLをクロールして、パースする。詳細なサイトのセクションを見つけるために低速ではあるが厳密なフルページレンダーを行う。この方法は本物のブラウザーを使う方法よりは高速だが、依然として遅い。そこで、水平方向にスケールするのである。Engineを使い、何百もの仮想Chromeワーカーからなるボットネットを動的に生成し、サイトをスキャンするのである。サーバーダウンするのでは?と心配された方もいるかもしれないが、スキャンごとのリクエスト数は20リクエスト/s以下に制限されているので心配は無用である。あなたのサイトを攻撃する(いや。DevToolsに依存したデバッガーを動かすだけの完全に無害なテストスクリプトを用いる。デバッガーが動くと、我々はjavascriptコードが実行されたことを知る。positiveは(ほぼ)ない。この方法はアプリケーション特有のバグを見逃す可能性はあるものの、多くの開発者にとってセキュリティチェックにかかる手間が少なく、無駄情報が紛れ込むことも少ないため、評価されるのではないかと我々は考えている。Scannerによるスキャン結果が良好だからといってセキュリティバグがないとは限らない。ウェブアプリケーションセキュリティのプロによる手動セキュリティチェックも合わせて行うことをおすすめする。Scannerは現在ベータ稼働中で今後、更なる機能追加が予定されている。ツール内の”Feedback”ボタンをクリックするだけだ。2.使ってみた実行は非常に簡単である。和訳にあるようにスキャン作成を選択してRunをクリックするだけである。今回は7種類のHTMLページについてテストしてみた。無害なページ一番上の(Myproject)はプレーンなHTML(脆弱性は無い)。IFrame)目は、iframeでhttpsページにhttpのリソースを埋め込んだページ。xss)は、非常に典型的なXSS脆弱性を含むもの「hrefXSS」ページはGETパラメータで渡す値が、ページ内のリンク(aタグのhref)に無害化されずに入力できるページ。param」ページはGETパラメータで渡す値を、無害化せずにhtmlタグ(もちろんjavascriptも)として表示するページ。postページで無害化せずにhtmlタグとして表示する。xss」ページは、入力した内容をPOSTして、遷移先で無害化せずにhtmlタグとして表示するページ。positive)はなかった。IFrameページこれは見逃してしまっているようである。Contentとでてコンテンツも表示されない。いったものは無害とみなすのであろうか。xss」ページの”ダイレクト”なケースについてはXSS脆弱性を検出してくれた。xss」に関しては最近のブラウザでは直接ポストした先でスクリプトが走るとXSSとみなして実行をブロックしてくれるので、過剰検出ではある。post」ページの組み合わせのような、入力値を、DBに保存し、これを介して別ページにXSSを仕掛けるような”インダイレクト”なケースの脆弱性には未対応のようである。今後の対応をお願いしたいところである。驚くほど簡便に(数クリックで)使えるのが非常にうれしい。一方でまだベータ版とということもあり、XSSに限っても脆弱性検出が不完全であることは否めない。いえ、セキュリティプロの診断とセットで本ツールを使い、本ツールで既知のものについてはプロによるマニュアル診断は行わず、別のもっと高度な、もっとシビアなセキュリティー診断に時間を割いてもらうなどの使い道はありえるのではなかろうか。