Webアプリケーションにおける深刻なセキュリティバグの多くは、複数のファイルにまたがって潜在しています。リクエストデータはコントローラーを通じて流入し、データオブジェクトやサービス層を経由しながら、データベースクエリやファイル操作といったセキュリティ上重要な処理に到達したとき初めて危険な状態となります。ファイルを1つずつ読み込む従来のスキャナーでは、こうしたデータの経路を見落としてしまうことがあります。
Nikaは、決済企業PhonePeが開発したオープンソースツールで、この課題にJavaマイクロサービスを対象として取り組んでいます。クロスファイルのテイント解析を実行し、攻撃者が制御可能な入力値がアプリケーション層をどのように伝播するかを追跡することで、その入力値がセキュリティ上重要なシンクに到達するかどうかを検出します。
単一ファイルの範囲内では見えないまま放置されてしまう脆弱性は少なくありません。危険性はデータが辿る経路上に現れるため、レビュアーはその経路全体を把握する必要があります。Nikaはファイルや関数をまたいでデータフローを追跡し、セキュリティエンジニアが疑わしいパスが実際に到達可能かどうかを判断できるようにします。
解析の仕組み
このツールは対象リポジトリを読み込み、コード構造・制御フロー・データフローを捉えた解析表現を構築します。次に、攻撃者が制御可能な入力値がアプリケーションに流入するソースを特定し、セキュリティ上重要な処理が行われるシンクを探索します。シンクとなるのは、データベースクエリ、ファイル操作、テンプレートエンジン、リフレクション呼び出し、外部へのネットワークリクエストなどです。クロスファイル・プロシージャ間解析によって、入力値がソースからシンクへ伝播できるかどうかを追跡し、脆弱なパス・影響を受けるコード箇所・修正のヒントを示したHTMLまたはJSONのレポートを出力します。
検出対象の脆弱性
Nikaは11のカテゴリの脆弱性に対応しています。対象となるのは、SQLインジェクション、サーバーサイドリクエストフォージェリ（SSRF）、パストラバーサル、コマンドインジェクション、コードインジェクション、テンプレートインジェクション、デシリアライゼーションの欠陥、XML外部エンティティ（XXE）の問題、暗号化の不備、安全でないリフレクションです。また、機密性の高い実行フローや検証チェーンにおけるセキュリティ上重要な呼び出し順序違反も検出します。カスタムソース、OpenGrepシンク、脆弱性プラグインを追加してカバレッジを拡張することも可能で、セキュアコードレビューの一環としてブランチ単位のスキャンを実行することもできます。
オプションのAIレビュー機能
コア解析の実行後、Nikaは検出結果をAIエージェントに渡して二次レビューを行い、誤検知を削減することができます。このステップはデフォルトではオフになっており、設定ファイルから有効化できます。サンプル設定ではホスト型の大規模言語モデルを使用するよう指定されており、トークンコスト・イテレーション数・呼び出し上限の値も含まれています。このステップをオプションとすることで、静的解析エンジン単体での利用が可能になり、トリアージに時間的余裕がない場合のみ言語モデルによる処理を追加するという使い方ができます。
このツールはセキュアコードレビュー作業を主な用途として設計されています。ブランチ単位のスキャン機能により、レビュー対象の変更箇所をNikaに指定することができ、HTMLレポートにはソースからシンクまでの経路と関連する行番号が一覧表示されます。レポートに含まれる修正のヒントは、具体的な対処の出発点として活用できます。
ベンチマークと言語サポート
Nikaの開発チームは、公開テストセットを用いてツールの性能を計測しています。プロジェクトメンテナーのPraveen Kanniah氏はその方法をこう説明しています。「OWASP Javaベンチマークプロジェクトを使用してツールの評価を行いました。このコードベースには意図的に脆弱なファイルが含まれており、真陽性・偽陽性・再現率（コード中に存在する脆弱性のうち実際に検出できた割合）といったパラメーターで評価します。」
OWASPベンチマークは意図的に埋め込まれた欠陥を含むコードを提供しており、スキャナーの結果について、実際の問題をどれだけ検出できたか、またアラートがどの程度正確だったかをスコアリングできます。この文脈における再現率は、ツールが検出できた既存の脆弱性の割合を示します。
現時点でサポートされている言語はJavaのみですが、他言語への対応はロードマップに含まれています。NikaはDockerイメージとローカルビルドの両形式で提供されており、ドキュメントは専用のプロジェクトサイトで公開されています。
NikaはGitHubで無料公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/07/01/nika-open-source-code-analysis-tool/
