マルチアセットスキャンの実行
このガイドでは、マルチアセットスキャンの作成手順を説明します。マルチアセットスキャンは、モバイルアプリケーション、Webアプリケーション、ネットワーク範囲、コードリポジトリ、ファイルなどの複数のアセットを、共通の設定と単一の統合レポートを持つ1つのスキャンにまとめます。
マルチアセットスキャンの仕組みと使用する場面については、マルチアセットスキャンプロファイルを参照してください。追加できるアセットの一覧については、サポートされるアセットタイプを参照してください。
マルチアセットスキャンの作成
ステップ1: メインアセットを選択する
- 上部バーの New Scan をクリックします。
- （任意）スキャンにわかりやすいタイトルを入力します。
- メインアセットのタイプを選択して設定し、Continue をクリックします。たとえば、PlayStore を選択してアプリケーションを検索します。
ステップ2: アセットを追加する
Extra Context ステップでは、スキャンに含めるその他のアセットを追加します。単一アセットのスキャンではこのステップは任意です。マルチアセットスキャンを実行するには、ここで少なくとも1つのアセットを追加します。
-
Add asset をクリックします。
-
Add Asset ダイアログでアセットタイプを選択します。All、Mobile、Web、Network、Code の各タブを使って一覧を絞り込めます。1回のスキャンに含められるモバイルアプリケーションは最大1つのため、メインアセットがモバイルアプリケーションの場合、モバイルのアセットタイプは一覧に表示されません。Documentation では、エージェントがアプリケーションを理解しやすくなるよう、ドキュメントページのURLを追加できます。
-
アセットを設定し、Add をクリックします。
- スキャンに含めるすべてのアセットについて、同じ手順を繰り返します。
Repository Archive を選択すると、Gitプロバイダーを接続したり、Ostorlabにリポジトリへのアクセス権を付与したりすることなく、アーカイブをアップロードしてソースコードをスキャンできます。
ステップ3: スキャンプロファイルを選択する
Extra Context でアセットを追加すると、一覧に Multi Asset Deep Agentic Scan プロファイルが表示されます。これを選択します。これはAIを活用したエージェンティックスキャンで、複雑なロジックの欠陥を発見し、複数のアセットにまたがる脆弱性を連鎖させ、概念実証（PoC）エクスプロイトによって検出結果を検証します。
Continue をクリックし、Guardrails を確認します。AIエージェントがリスクのあるアクションを自ら実行するか、事前に確認を求めるかを選択し、必要に応じて脆弱性のスコープ、ブロックするIP、追加の指示を設定します。Continue をクリックします。
ステップ4: AIプロバイダーを選択する
スキャンのAI分析を実行する方法を選択します。
- Cybermodels: Cybermodelsのトークンを使用してスキャンを実行します（APIキーは不要）。ここには利用可能な残高と Provision Tokens ボタンが表示されます。
- BYOK Simple または BYOK Advanced: 独自のAPIキーを使用してスキャンを実行します。
詳細については、BYOKスキャンキーの生成およびCyber Modelsの概要を参照してください。
ステップ5: エフォートレベルを選択する
エフォートレベルによって、スキャンがアセットをどこまで深く分析するかが決まります。エフォートを高くするとより多くのリスクをカバーできますが、消費するトークンも増えます。
| エフォート | トークン | ペネトレーションテスト換算 |
|---|---|---|
| Core | 50 | 約1週間 |
| Advanced | 200 | 約2〜4週間 |
| Elite | 400 | 約4〜8週間 |
ペネトレーションテスト換算は、選択したエフォートレベルがカバーするリスクをペンテスター1人が評価するのに必要な時間の目安です。
利用可能なトークン残高を超えるコストのエフォートレベルは無効になり、画面には Insufficient Balance というメッセージが表示されます。AIプロバイダーのステップで Provision Tokens を使用してトークンを追加してください。
ステップ6: 任意のステップを設定する
残りのステップはすべて任意です。設定することも、Continue をクリックしてスキップすることもできます。
Prompts
スキャンの動作を導くための指示を追加します。効果的なプロンプトの書き方については、AI Pentestプロンプトガイドを参照してください。
Test Credentials
定義済みのテスト認証情報を選択するか、新しく追加して動的分析のカバレッジを高めます。認証情報は Test Credentials メニューから管理することもできます。
Test Credentials をクリックすると、サポートされている認証タイプが表示されます。
- Login & Password: ユーザー名とパスワードの組み合わせで認証します。
- Custom Credentials: テスト中にセマンティックに照合されるキーと値のペアです。
- 2FA SMS、2FA Email、2FA TOTP、2FA Manual: 二要素認証への対応です。認証済みスキャンの2FAを参照してください。
- Basic Authentication: HTTP Basic認証方式です。
- Script: 複雑な認証フロー向けのカスタムPuppeteerスクリプトです。
- Certificate: 相互TLS用のTLS/SSLクライアント証明書です。
- HTTP Headers: 認証用のカスタムヘッダーで、APIでよく使用されます。
Advanced Settings
Advanced Settings では次の設定ができます。
- リクエストレート（QPS）の制限。
- Proxy の設定。
- スキャン対象 URL のホワイトリスト設定（正規表現を1行に1つずつ指定）。
ステップ7: スキャンを開始する
右側のパネルで Start scan をクリックしてスキャンを開始します。スキャンが完了すると、すべてのアセットの検出結果が単一のレポートにまとめて表示され、それぞれに深刻度、影響を受けるアセット、修正のガイダンスが付記されます。
例: モバイルアプリ、その API、そのコード
この例では、バンキングアプリケーションとその背後にあるシステムを対象に、1つのスキャンのスコープを設定します。名前はすべてプレースホルダーです。
- Play Store で公開されている Android アプリケーション
com.example.bank。 - アプリケーションが呼び出す Web API
https://api.example.com。 - アプリケーションとそのバックエンドのソースコード（リポジトリアーカイブ）。
https://api.example.comを記述した OpenAPI スキーマ。
ステップ1でアプリケーションをメインアセットとして選択し、残りをステップ2で追加します。
| アセット | 追加する場所 | 追加される内容 |
|---|---|---|
com.example.bank (PlayStore) |
メインアセット（ステップ1） | テスト対象のクライアントです。 |
https://api.example.com (Web App) |
Web タブ | アプリが通信するバックエンドと API です。 |
| ソースコード (Repository Archive) | Code タブ | アップロードしたアーカイブから取り込む、アプリとそのバックエンドのコードです。 |
| OpenAPI スキーマ (File) | Add Asset ダイアログ | システムが実際にどのように構築・デプロイされているかをスキャンに反映させるのに役立つ、API スキーマ、スクリプト、設定などの補助ファイルです。 |
ストアでアプリケーションを見つけるには、name または package name で検索します。特定の国でのみ提供されている場合は、Country メニューでその国を選択します。
コードが接続済みの Git プロバイダーにある場合は、アーカイブの代わりに Code Repository アセットを追加します。これにはソースコード連携の設定が必要です。ソースコードスキャンを参照してください。
認証情報。 Test Credentials で選択した認証情報は、スキャン内のすべてのアセットに適用されます。この例では、アプリケーションのテストアカウント用に Login & Password 認証情報を追加し、https://api.example.com が API キーヘッダーを必要とする場合は HTTP Headers 認証情報も追加します。認証済みWebスキャンも参照してください。
スコープ。 スコープは追加したアセットの集合です。アセットは少なくとも1つ必要で、モバイルアプリケーションは最大1つです。テストする URL を制限するには、Advanced Settings に正規表現 https://api\.example\.com を追加します。
コンテキスト。 File アセットで OpenAPI スキーマを渡します。スクリプトや設定も同じ方法で追加します。Repository Archive は .zip、.tar.gz、.tgz、.7z のアーカイブを受け付けます。SBOM ファイルとロックファイルはアセットではありません。SBOMまたはLockfileを使用したスキャン でアップロードします。スキャンの焦点を絞るには Prompts を使用します。たとえば、AI Pentestプロンプトガイドの API セキュリティ評価テンプレートを利用できます。
関連する検出結果。 アプリ、その API、そのソースコードの検出結果は、ステップ7で説明した単一のレポートに表示されます。Multi Asset Deep Agentic Scan プロファイルはこれらのアセットをまたいで脆弱性を連鎖させるため（たとえば、アプリケーションからそれが呼び出す API へ）、連鎖とそれが結びつける検出結果は1つのレポートにまとまります。マルチアセットスキャンプロファイルを参照してください。
よくある質問
マルチアセットスキャンにはいくつのアセットを含められますか。
1回のスキャンに含められるモバイルアプリケーションは最大1つです。Webアプリケーション、ネットワーク範囲、コードリポジトリ、アーカイブ、ファイルは数に制限なく追加できます。
すべてのアセットが同じスキャン設定を共有しますか。
はい。スキャンプロファイル、AIプロバイダー、エフォート、テスト認証情報、プロンプトはスキャンごとに一度設定し、そのスキャンに含まれるすべてのアセットに適用されます。
Ostorlabにリポジトリへのアクセス権を付与する必要がありますか。
いいえ。必要に応じてGitプロバイダーを接続することもできますが、Repository Archive アセットを追加して .zip、.tar.gz、.tgz、.7z のアーカイブをアップロードすれば、アクセス権を付与せずにコードをスキャンできます。
複数のアセットを個別にではなく、まとめてスキャンする理由は何ですか。
最近のアプリケーションは、モバイルクライアント、Webバックエンド、インフラストラクチャ、ソースコードにまたがっています。これらをまとめてスキャンすることで、アセット間で脆弱性を連鎖させ、関連する検出結果を1つのレポートにまとめられます。マルチアセットスキャンプロファイルを参照してください。