-
Notifications
You must be signed in to change notification settings - Fork 0
MS_TestingOnAzure
- 戻る（テスト、Azure（
MS_Azure.md））- Azure上でのテスト
Azure上での負荷テスト、脆弱性診断テストのポイントを纏めた。
-
以前は、
- 負荷テストに関しては事前告知不要。
- 侵入テストに対しては、事前申請が必要。
となっていたが、
-
現在、事前申請は不要になっている。
※ GCP・Azure（2017/6/15）に続く形で
AWSも事前申請が不要になったらしい（2019/3/5）
AzureのSQLデータベースは、共有サービスモデルで提供されるため、
過剰なリソース消費をした場合、接続を切断されることがあるようです。
※ ただし、これは、AzureのSLAにも含まれる対応。
こう言った問題を解決するには、
- インスタンス・サイズを大きくしてスケールアップするか、
- 以下の方式でスケールアウトする必要があります。
- Azure SQL Database Federations（2015年9月にサービス終了）
- Elastic Scale, Elastic Database Pool（
MS_ElasticScaleAndElasticDatabasePool.md）
補足（最新化）: 現行の Azure SQL Database では、 Hyperscale や Elastic Pool、読み取りスケールアウトなどの選択肢がある。
NessusやAppScanは、
擬似的に攻撃（脆弱性を突くようなリクエスト）
を行うため侵入テストに該当する。
侵入テストのアクティビティを事前通知する必要はなくなったが、
「統合侵入テストの活動規則」に引き続き従う必要がある。
（実施ルール中に禁止のアクティビティが明記されている）
移行メモ: 元 Wiki では、事前申請が必要だった時代の手順（申請フォーム、7日前申請、 「DoS は禁止」の記載など）が取り消し線で残されていた。 現在は事前申請自体が不要のため、移行にあたっては割愛した。
AppScanについては、ローカルサーバ上にテスト環境があれば、
そちらに対してテストしてアプリケーションの脆弱性を検証することもできるが、
IaaSではなくPaaSやSaaSを対象とした場合は、Azureでのテストが必要になる。
※ PaaS開発のエミュレータは存在するが、サーバ環境にデプロイできないので。
- 最近のAzureはIaaSもサポートされているので、
検査ツールのインストールなどに問題は無し。
（昔はWebロールとWorkerロールだったので） - 内部IPと通信できるか？課金されないか？などは別途調査が必要。
マイクロソフト製品またはサービスの脆弱性を報告するサイト。
- OWASP Top Ten
- OWASP Top 10 2013（元記事が参照していた版）
- A1 : インジェクション
- A2 : 認証とセッション管理の不備
- A3 : クロスサイトスクリプティング (XSS)
- A4 : 安全でないオブジェクト直接参照
- A5 : セキュリティ設定のミス
- A6 : 機密データの露出
- A7 : 機能レベルアクセス制御の欠落
- A8 : クロスサイトリクエストフォージェリ(CSRF)
- A9 : 既知の脆弱性を持つコンポーネントの使用
- A10 : 未検証のリダイレクトとフォーワード
補足（最新化）: OWASP Top 10 は 2017 / 2021 と改訂されている。 2021年版では A01 アクセス制御の不備、A02 暗号化の失敗、A03 インジェクション（XSS を包含）が上位で、 A04 安全でない設計、A08 ソフトウェアとデータの整合性の不具合が新設された。
データ（例えば、ファイル、ネットワーク、レジストリ、共有メモリパーサ）を
解析して消費するプログラムインターフェース（エントリポイント）に
不正な入力データを供給することによって、プログラムの失敗（コードエラー）を見つける方法である。
Tags: テスト, クラウド, Azure
このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。