こんにちは。セキュリティ本部の yokoyama です。

セキュリティ本部では、「STORES プラットフォームに内在するセキュリティリスクを適切にコントロールする」をミッションに、日々さまざまな活動に取り組んでいます。

その活動の一環として、全サービスを対象に脆弱性診断を内製で実施しています（一部は外部ベンダーの支援を受けています）。

今回は、私たちが実施している脆弱性診断の取り組みについて、その一部をご紹介します。

診断種類
診断の流れ
おわりに

診断種類

以下の脆弱性診断を年1回、全サービスに対して実施しています。また、新しいプロダクトや機能のリリース前にも診断を行っています。

Web アプリケーション診断
API 診断
プラットフォーム診断

これとは別に、スマートフォンアプリ診断、ソースコード診断、PCI DSS 準拠対象のサービスに対しては ASV スキャンや外部ベンダーによる脆弱性診断を実施しています。

診断の流れ

今回は、Web アプリケーション診断の流れについて紹介します。

診断の全体的な流れは以下の通りです。

診断計画の策定
診断対象の精査
Web アプリケーション診断の実施
診断結果の取りまとめ
脆弱性の対応

診断計画の策定

現在、STORES ではネットショップ、POS レジ、予約、決済など複数のサービスを提供しており、認証基盤などの共通システムも複数あります。

Web アプリケーション診断の対象数は 2,000 以上あるため、毎年年初に脆弱性診断の年間計画を策定して各サービスの診断時期を決めています。

診断対象の精査

Web アプリの全機能に対して、Burp Suite などのローカルプロキシーツールを使い、実際にブラウザから画面操作を行います。そして、どのような HTTP リクエストが送信されるかをスプレッドシートに記録して診断対象を精査しています。

portswigger.net

診断対象の精査例

例えば、STORES ネットショップのカテゴリを保存する際の HTTP リクエストを精査する場合は、以下のような手順で行います。

カテゴリ名に abass と入力して 保存 を押下します。

Burp Suite の画面で POST /dashboard/api/v1/categories の Body に "name":"abass" が付与されていることを確認できます。

遷移時の HTTP リクエストを確認できたので、診断対象をスプレッドシートに記録します。 Webアプリの全機能に対してこの作業を手動で行い、診断対象を精査していきます。

現在は手動で対応していますが、自動化の方法を模索中です。

Web アプリケーション診断の実施

診断対象に対して実際に Web アプリケーションに脆弱性が内在していないか確認します。

「OWASP Top 10」、「OWASP Cheat Sheet Series」、IPA の「安全なウェブサイトの作り方」などを参考に、XSS や SQL インジェクションなどの代表的な脆弱性から、GraphQL、OAuth、JWT など仕様に関連したものまで、診断項目は 200 以上定義しています。