OWASP Zed Attack Proxy（ZAP）は、OWASP PenTest Kit（PTK）ブラウザ拡張機能の統合を開始し、認証済みアプリケーションセキュリティテストのための統合プラットフォームを提供します。
このアドオンは、ZAPから直接起動したChrome、Edge、FirefoxブラウザにPTKを自動的にインストールし、手動設定の必要をなくすことで、セキュリティ専門家が認証セッション内で包括的なテストを実施できるようにします。
PTKは、ブラウザセッションを信頼できる唯一の情報源として扱うことで、セキュリティテスト手法を根本的に変革します。
単独で動作する従来のスキャン手法とは異なり、PTKは認証済みのナビゲーション、シングルページアプリケーション（SPA）のルーティング、クライアント側の挙動、そして実際の利用時にアプリケーションが生成する正確なリクエストを取得します。
このアプローチは、フォーム、検索、管理インターフェース、チェックアウトプロセスといった正規のユーザーフローを通じた網羅的なカバレッジが求められる現代のWebアプリケーションにおいて、特に有効であることが示されています。
この統合により、ZAPはトラフィックとコンテキストの集中ハブとして位置づけられ、PTKは実行時スキャンと狙いを定めた脆弱性発見のためのブラウザ内セキュリティツールキットとして機能します。
セキュリティチームは、ZAPのトラフィック分析機能とPTKのブラウザネイティブなテストワークフローの両方に同時にアクセスできます。
PTKは、統一されたインターフェース内で4つの異なるテスト手法をサポートします。Dynamic Application Security Testing（DAST）は「閲覧しながらスキャンする」ワークフローを可能にし、テスターは実行時スキャンを開始して通常どおりにアプリケーション機能を操作し、その後停止して結果を確認します。
このアプローチにより、従来のスキャン手法では見逃される脆弱性を捉えることができます。
Interactive Application Security Testing（IAST）は、ブラウザ内の実行時挙動を計測し、認証済みルートおよびSPAのインタラクション中のシグナルを監視します。
Static Application Security Testing（SAST）は、ページに埋め込まれたスクリプトや外部JavaScriptを解析し、本番バンドル内の危険なシンクやリスクの高いパターンを特定します。
Software Composition Analysis（SCA）は、アプリケーションが実際に配信して実行するコンポーネントから、依存関係の脆弱性シグナルを可視化します。
中核となるテスト手法に加えて、PTKには一般的なセキュリティテストのシナリオに対応する専用ツールが含まれています。
JWTテストツールは、トークンの検査、クレームの変更、アルゴリズムの切り替え、有効期限・オーディエンス・発行者クレームの強制が適切に行われているかの検証を可能にします。
Request Builderは、セキュリティ専門家がリクエストを編集して再送し、狙いを定めた攻撃を実行し、トラフィックをcURL形式でエクスポートできるようにすることで、ハンズオンテストを加速します。
これにより、トラフィック分析中に特定された注目すべきリクエストに対して、仮説検証を迅速に行えます。
ノイズや意図しない対象外スキャンを防ぐため、ドメインスコープは厳密に保つべきです。ZAP-PTKの組み合わせワークフローは、認証済みの動的アプリケーションに対してコンテキストを踏まえたテストを提供しつつ、スキャン範囲と運用上の影響を精密に制御します。
インストールは3ステップで完了します。ZAP MarketplaceからOWASP PTKアドオンをインストールし、ZAPの機能でブラウザを起動し、PTK拡張機能のアイコンが表示されることを確認します。このアドオンは公式のZAP Marketplaceで入手できます。
翻訳元: https://cyberpress.org/zap-unveils-owasp-pentest-kit-browser/