メインコンテンツへスキップ
Tenzai は AI ペネトレーションテスターです。実際の攻撃者と同じように公開済みアプリを攻撃し、成功した内容を報告します。これはアプリのセキュリティスキャンを補完するものです。スキャンはコードをチェックし、ペネトレーションテスト (ペンテスト) は公開中のアプリが実際の攻撃にどこまで耐えられるかをチェックします。始めるには、ワークスペースで Tenzai を一度接続します。その後、アプリの Security ページからペンテストを実行します。
Base44 アプリの継続的なセキュリティテストを提供する Tenzai for Base44 ページのスクリーンショット

Tenzai for Base44

Tenzai でアプリのセキュリティをテストするには、Builder プラン以上が必要です。

​
しくみ

ペンテストは Base44 から開始し、Tenzai が自分の Tenzai アカウント上で実行します。Base44 は、アプリ用の一時的なテストログインを Tenzai に提供します。そのため、公開ページに加えて、サインイン後に表示されるページもテストできます。自分のログイン情報が共有されることはありません。 テストが完了するとメールが届き、Tenzai ダッシュボードに完全なレポートが表示されます。ペンテストの料金は Tenzai アカウントに請求され、Base44 のクレジットは消費しません。
テストを実行するタイミング:テストは、実行時に公開されているバージョンのアプリのみが対象です。そのため、一度きりのチェックではありません。次のタイミングでテストを実行しましょう:
  • アプリをリリースする前。
  • サインイン、決済、新しいユーザーロールの追加など、大きな変更の後。
  • 顧客や監査から求められたとき。

​
ステップ 1: Tenzai を接続する

ワークスペースで Tenzai を一度接続します。接続後は、ワークスペースのオーナーと管理者が、ワークスペース内のどのアプリでもペンテストを実行できます。
始める前に:
  • Tenzai の接続とペンテストの実行には、ワークスペースのオーナーまたは管理者である必要があります。
  • Tenzai アカウントとアクセスキーが必要です。お持ちでない場合は、接続中に登録できます。
Tenzai を接続するには:
  1. アカウントの左下にあるワークスペース名をクリックします。
  2. Settings をクリックします。
  3. 左サイドバーの Build tools で、Connectors をクリックします。
  4. Connectors For App Builders で Tenzai を見つけ、Add をクリックします。
  5. 次のいずれかを行います:
すでに Tenzai アカウントをお持ちの場合は、Tenzai アカウントのアクセスキーを使用します。
  1. Tenzai のアクセスキーを Access Key フィールドに貼り付けます。
  2. Connect をクリックします。
まだ Tenzai アカウントをお持ちでない場合は、Connect Tenzai ウィンドウから登録します。Tenzai はワークスペース専用の Tenzai 組織を作成し、アクセスキーを発行します。招待リンクは一度だけ使え、自動的に期限切れになります。
  1. Click here to register をクリックします。Tenzai for Base44 ページが開きます。
  2. Accept your invitation で、Continue securely をクリックします。
  3. Tell us about your organization で、First name、Last name、Work email を入力します。Company or team を追加することもできます。
  4. I’m authorized to connect this workspace チェックボックスを選択します。
  5. Create my Tenzai access をクリックします。
  6. Your Tenzai access token で、Copy token をクリックします。トークンは一度しか表示されないため、すぐにコピーしてください。
  7. Connect Tenzai ウィンドウに戻り、トークンを Access Key フィールドに貼り付けます。
  8. Connect をクリックします。
Access Key フィールドにアクセスキーが貼り付けられた Connect Tenzai ウィンドウのスクリーンショット

ワークスペースを Tenzai に接続する

アクセスキーは暗号化して保存され、保存後は再表示されません。

​
ステップ 2: ペンテストを実行する

ペンテストは、現在公開されているバージョンのアプリに対して実行されます。開始する前に、アプリの最新のセキュリティスキャンが必要です。
ペンテストは、公開済みアプリに実際の攻撃を送ります。本番データではなくテストデータ上で実行されますが、テストレコードが作成または変更される場合があります。テスト実行中は変更を公開しないでください。公開した変更はレポートに含まれません。
ペンテストを実行するには:
  1. アプリエディタで Dashboard をクリックします。
  2. Security をクリックします。
  3. 前回のスキャン以降にアプリが変更された場合は、Run Security Scan をクリックし、完了するまで待ちます。
  4. Tenzai penetration test カードで、Run penetration test をクリックします。
  5. Run pentest ダイアログで詳細を確認します。
  6. I understand this test may create or change test data チェックボックスを選択します。
  7. Run pentest をクリックします。
確認チェックボックスが選択され、Run pentest ボタンが押せる状態の Run pentest ウィンドウのスクリーンショット

Run pentest ウィンドウでテストを確認する

​
ステップ 3: 結果を確認する

テストの実行中、Tenzai カードには開始時刻が表示されます。Run penetration test は Running… に変わります。テストには数時間かかる場合があり、完了するとメールが届きます。
テストの開始時刻と Running ステータスが表示された Tenzai penetration test カードのスクリーンショット

実行中の Tenzai テスト

​
レポートを開く

テストが完了すると、Tenzai から完全なレポートが PDF 添付ファイルとしてメールで届きます。Tenzai アカウントからいつでも開くこともできます。 レポートを開くには:
  1. アプリエディタで Dashboard をクリックします。
  2. Security をクリックします。
  3. Tenzai penetration test カードで、Go to Tenzai をクリックします。
Tenzai penetration test カードの Go to Tenzai ボタンが強調表示されたアプリの Security ページのスクリーンショット

Security ページから Tenzai アカウントを開く

​
サマリーを読む

レポートの冒頭には、Tenzai が発見した内容のサマリーがあります。全体的なリスクレベル、テストしたアプリの部分の数、すべての検出結果が含まれます。検出結果は、Critical から Low まで重大度順に並んでいます。
High のリスクレベル、10 件の検出結果、テスト済みの 44 個のエンドポイント、検出結果の表が表示された Tenzai レポートのサマリーのスクリーンショット

Tenzai レポート冒頭のサマリー

​
検出結果を読む

各検出結果には専用のセクションがあります。重大度、影響を受けるアプリの部分、問題がまだ未解決かどうかが表示されます。その後に次の項目が続きます:
  • 影響: 攻撃者がそれを使って何ができるか。
  • 攻撃経路と証拠: Tenzai がどのように攻撃したかを、証拠として送信したリクエストとともに段階的に示します。
  • 修正方法: 問題を修正する方法。
以下の例では、サインインしたユーザーなら誰でも、他のユーザーの旅行データを読み取り、変更できることを Tenzai が発見しました。このような検出結果は通常、アプリのデータに権限ルールが必要であることを意味します。権限ルールにより、各ユーザーは自分のレコードだけを表示、編集できます。詳しくは データの権限の設定 を参照してください。
分類、スコア、影響を受けるエンドポイント、Open ステータスが表示された、Tenzai レポートの重大度 High の検出結果のスクリーンショット

Tenzai レポートの検出結果の例

​
検出結果を修正する

重大度の高いものから順に検出結果に対処し、修正後に再度テストします。
レポートには、アプリを攻撃する具体的な方法が示されています。レポートは非公開にし、アプリの修正を手伝う人とだけ共有してください。
Tenzai の検出結果を修正するには:
  1. アプリエディタで AI チャットを Discuss に切り替えます。検出結果の Impact と Remediation を貼り付け、アプリでの修正方法を AI に尋ねます。
  2. Build に切り替え、AI に修正を依頼します。
  3. セキュリティスキャン を実行してアプリをチェックします。
  4. アプリを公開し、もう一度ペンテストを実行して問題が修正されたことを確認します。

​
接続を管理する

ワークスペースのオーナーと管理者は、いつでも Tenzai の接続を更新または削除できます。

​
アクセスキーを更新する

Tenzai で新しいアクセスキーを作成した場合や、保存したキーが Tenzai で受け付けられなくなった場合は、アクセスキーを更新します。 Tenzai のアクセスキーを更新するには:
  1. アカウントの左下にあるワークスペース名をクリックします。
  2. Settings をクリックします。
  3. 左サイドバーの Build tools で、Connectors をクリックします。
  4. Tenzai を見つけ、View をクリックします。
  5. Connections テーブルで、Edit をクリックします。
  6. 新しいアクセスキーを入力します。
  7. Save Changes をクリックします。

​
接続を削除する

コネクタを削除すると、ワークスペース内のすべてのアプリでペンテストが停止します。 Tenzai コネクタを削除するには:
  1. アカウントの左下にあるワークスペース名をクリックします。
  2. Settings をクリックします。
  3. 左サイドバーの Build tools で、Connectors をクリックします。
  4. Tenzai を見つけ、View をクリックします。
  5. Connections テーブルで、Edit をクリックします。
  6. Delete Connector をクリックします。
  7. 確認メッセージを確認し、Delete Connector をクリックして確定します。

​
よくある質問

Tenzai でのペンテストの実行について詳しく知るには、以下の質問をクリックしてください。
Run penetration test ボタンは、次の条件をすべて満たす場合にのみ使用できます:
  • ワークスペースのオーナーまたは管理者である。他のメンバーには Tenzai カードが表示されません。
  • アプリが公開されている。
  • アプリの現在のバージョンでセキュリティスキャンが実行されている。
  • そのアプリで他のペンテストが実行中でない。
フルスタックアプリはペンテストに対応していません。
Tenzai がアクセスキーを受け付けない場合や、キーにスキャンを開始する権限がない場合は、Tenzai アカウントでキーとその権限を確認してください。その後、Base44 で アクセスキーを更新 します。
Wiz は、アプリの依存関係とコードを確認して、セキュリティスキャンにチェックを追加します。Tenzai は実行中の公開済みアプリを攻撃し、攻撃者が実際に何をできるかを示します。両方を併用できます。
このページは AI によって翻訳されました。最も正確で最新の情報については、英語版 を参照してください。