ファジングの限界

ファジングは、ブルートフォース攻撃（総当たり攻撃）を主とする検査手法です。大変重要、かつ有効な検査手法である一方、個々のテストケースの作成とそれらの実施には、多大な時間と労力が必要とされます。このため、非常に短い期間での開発を要求される昨今のプロジェクトでは、できる限り効率的なアプローチが求められます。

また、ファジングの特長は、単一のテストデータによる脆弱性検出ができることです。この特長を最大限に活かすには、攻撃シナリオや改ざんするデータを意識した攻撃モジュールを作成し、脆弱性が潜んでいそうな箇所を狙って検証することが重要です。

独自の攻撃シナリオやデバイス専用の攻撃モジュールの作成をユーザー自身で行えれば、正常なHTTPリクエストに対して、URLに含まれる特定の可変フィールドのみをデータ改ざん対象とし、攻撃を仕掛けるようなモジュールをユーザーが簡単に作成できます。

また、組込み機器の場合は、情報システム系の機器とは異なり、OSから通信インタフェースまでの通信方式が機器によって違い、組み合わせが多様になりがちなため、これらを個別に考慮した試験環境を構築する必要があります。

beSTORMでは、機器ごとの環境構築をサポートするために、ユーザー定義インタフェースドライバーの作成や機器の挙動監視モニターとの連動機能を提供しており、汎用のファジングツールの限界を超えた使用が可能です。

網羅的アプローチであるファジングとユーザー定義のインテリジェントな攻撃を使って、脆弱性・セキュリティ検証を始めてみませんか。