[論文レビュー] Web Vulnerability Scanners: A Case Study

Emre Erturk, Angel Rajan|arXiv (Cornell University)|Jun 25, 2017

Web Application Security Vulnerabilities参考文献 2被引用数 9

ひとこと要約

本ケーススタディは、広く使用されているWeb脆弱性スキャナ「Acunetix」の評価を行い、自動スキャンを通じてWebアプリケーションの脆弱性を特定・報告する有効性を示している。本論文では、スキャンの正確性を向上させるAcuSensorおよびAcuMonitor技術の活用法を強調し、学生およびセキュリティプロフェッショナルが実際の環境でWVSツールを効果的に使用するための実用的ガイドラインを提供する。

ABSTRACT

Cloud security is one of the biggest concerns for many companies. The growth in the number and size of websites increases the need for better securing those websites. Manual testing and detection of web vulnerabilities can be very time consuming. Automated Web Vulnerability Scanners (WVS) help with the detection of vulnerabilities in web applications. Acunetix is one of the widely used vulnerability scanners. Acunetix is also easy to implement and to use. The scan results not only provide the details of the vulnerabilities, but also give information about fixing the vulnerabilities. AcuSensor and AcuMonitor (technologies used by Acunetix) help generate more accurate potential vulnerability results. One of the purposes of this paper is to orient current students of computer security with using vulnerability scanners. Secondly, this paper provides a literature review related to the topic of security vulnerability scanners. Finally, web vulnerabilities are addressed from the mobile device and browser perspectives.

研究の動機と目的

• コンピュータセキュリティの学生が自動Web脆弱性スキャナ（WVS）を効果的に理解し、使用できるようにすること。
• セキュリティ脆弱性スキャナおよびそれらが現代のWebアプリケーションセキュリティにおいて果たす役割に関する包括的な文献レビューを提供すること。
• モバイルデバイスおよびブラウザの両方の視点からWeb脆弱性を検討し、現実の攻撃表面を強調すること。
• Acunetixが脆弱性を特定・報告する際の実用的有用性および正確性を評価すること。
• AcuSensorおよびAcuMonitorがアプリケーションレベルの深い洞察を提供することで、スキャンの正確性をどのように向上させるかを示すこと。

提案手法

• 本研究では、主にWeb脆弱性スキャナとしてのAcunetixを用いたケーススタディ手法を採用している。
• AcuSensorはWebアプリケーション内に導入され、実行時の挙動を監視し、実行中に脆弱性を検出する。
• AcuMonitorは、サーバーサイドのログおよびトラフィックパターンを収集・分析し、潜在的なセキュリティ上の欠陥を特定するために使用される。
• スキャンプロセスでは、XSSやSQLインジェクションなどの一般的な脆弱性を検出するために、Webアプリケーションエンドポイントの自動クローリングおよびプローブが実施される。
• スキャンレポートに基づいて結果が分析され、脆弱性の深刻度、場所、是正策の提案が含まれる。
• 自動検出の正確性と完全性を評価するため、スキャン結果を手動テストと比較している。

実験結果

リサーチクエスチョン

• RQ1 Acunetixは、XSSやSQLインジェクションなどの一般的なWebアプリケーション脆弱性をどれほど効果的に検出できるか？
• RQ2 標準的なスキャンと比較して、AcuSensorおよびAcuMonitorは、脆弱性検出の正確性と信頼性をどの程度向上させるか？
• RQ3 実際のWebアプリケーションにおける自動Web脆弱性スキャンの主な課題と制限は何か？
• RQ4 モバイルデバイスおよびブラウザは、従来のスキャナが見過ごしがちな、どのような独自の攻撃ベクトルをもたらすか？
• RQ5 生産環境でWVSツールを正しくかつ効果的に使用するための、学生および実務家への何らかのガイダンスは提示可能か？

主な発見

• Acunetixは、テストされたWebアプリケーション全体で、クロスサイトスクリプティング（XSS）やSQLインジェクションを含む複数の一般的な脆弱性を正常に特定した。
• AcuSensorおよびAcuMonitorの統合により、アプリケーション動作に関する文脈に即した洞察が得られ、検出の正確性が顕著に向上した。
• 自動スキャンにより、手動テストと比較して脆弱性検出に要する時間が短縮されたが、高いカバレッジを維持した。
• モバイルデバイスおよびブラウザ固有の脆弱性が検出されたことから、異なるクライアント環境でのテストの重要性が浮き彫りになった。
• スキャンレポートには実行可能な是正ステップが含まれており、開発者およびセキュリティチームにとっての実用的有用性が高まった。
• 改善が見られたものの、依然として誤検出および見逃された脆弱性が観察されたことから、補完的な手動検証の必要性が示された。