ストーリー

DASTの仕組み

SASTとDASTの比較

DASTのスキャンタイプ

DAST のスキャンタイプ:

1. Passive Scan（受動スキャン）
   ├── プロキシとして通常のトラフィックを監視
   ├── レスポンスヘッダーの問題を検出
   ├── Cookie設定の問題を検出
   └── アプリケーションに影響なし（安全）

2. Active Scan（能動スキャン）
   ├── 実際に攻撃ペイロードを送信
   ├── SQLインジェクション、XSS等を検出
   ├── ファジング（ランダムな入力を送信）
   └── アプリケーションに影響する可能性あり

3. API Scan（APIスキャン）
   ├── OpenAPI/Swagger仕様書をベースに解析
   ├── APIエンドポイントの認証テスト
   ├── パラメータの境界値テスト
   └── REST/GraphQL対応

主要なDASTツール

OWASP ZAPの自動スキャン例

# ZAP Docker を使った CI/CD 統合
# GitHub Actions の例
name: DAST Scan

on:
  push:
    branches: [main]

jobs:
  dast:
    runs-on: ubuntu-latest
    services:
      app:
        image: myapp:latest
        ports:
          - 8080:8080

    steps:
      - uses: actions/checkout@v4

      # API スキャン（OpenAPI仕様書ベース）
      - name: ZAP API Scan
        uses: zaproxy/action-api-scan@v0.9.0
        with:
          target: 'http://app:8080'
          rules_file_name: 'zap-rules.tsv'
          cmd_options: >
            -f openapi
            -O http://app:8080/api/openapi.json

      # フルスキャン（Active Scan含む）
      - name: ZAP Full Scan
        uses: zaproxy/action-full-scan@v0.10.0
        with:
          target: 'http://app:8080'
          rules_file_name: 'zap-rules.tsv'

ZAPのルール設定ファイル

# zap-rules.tsv
# ルールID	アクション	説明
10010	WARN	Cookie No HttpOnly Flag
10011	FAIL	Cookie Without Secure Flag
10015	FAIL	Incomplete or No Cache-control Header
10017	FAIL	Cross-Domain JavaScript Source File Inclusion
10020	FAIL	X-Frame-Options Header
10021	FAIL	X-Content-Type-Options Header
10036	FAIL	Server Leaks Version Information
10038	FAIL	Content Security Policy (CSP) Header
40003	FAIL	CRLF Injection
40012	FAIL	Cross Site Scripting (Reflected)
40014	FAIL	Cross Site Scripting (Persistent)
40018	FAIL	SQL Injection
90019	FAIL	Server Side Code Injection
90020	FAIL	Remote OS Command Injection

DASTで検出できる主要な脆弱性

レスポンスヘッダーのチェック項目

必須セキュリティヘッダー:

Strict-Transport-Security: max-age=31536000; includeSubDomains
  → HTTPS の強制

Content-Security-Policy: default-src 'self'; script-src 'self'
  → XSS 防止

X-Content-Type-Options: nosniff
  → MIME タイプスニッフィング防止

X-Frame-Options: DENY
  → クリックジャッキング防止

Referrer-Policy: strict-origin-when-cross-origin
  → Referrer 情報の制御

Permissions-Policy: camera=(), microphone=(), geolocation=()
  → ブラウザ機能の制限

DASTの運用上の注意点

テスト環境の考慮事項

「DASTは攻撃者の視点でテストする。つまり、テスト環境を壊す可能性がある。本番環境で絶対にActive Scanを実行するな」 — 田中VPoE

まとめ

チェックリスト

• DASTの動作原理とSASTとの違いを説明できる
• OWASP ZAPの基本的な使い方を理解した
• DASTで検出できる脆弱性のカテゴリを把握した
• テスト環境での注意事項を理解した

次のステップへ

次は「SCAとサプライチェーンセキュリティ」を学びます。依存ライブラリに潜む脆弱性を管理する方法を身につけましょう。

推定読了時間: 30分