脆弱性の2つのクラス：スキャナーが見逃すもの

脆弱性を分類する最も有用な方法は、深刻度ではなく、ツールで検出できるかどうかで分けることです。この1ページガイドでは、すべてのAppSecチームが対応している2つのクラスを整理し、スキャナーでカバーできている範囲と、依然としてさらされている領域を一目で確認できるようにしています。

主なポイント：

• SQLi、XSS、設定ミスのようなヒューリスティックで検出可能な脆弱性が、すでに解決済みの基本レイヤーとなっている理由

• BOLA/IDORや認証バイパスのようなコンテキスト依存の脆弱性が、攻撃者に最も悪用されているクラスである理由

• スキャナーでは構造上検出できない脆弱性を見つけるために、どのようなテストが必要か