セキュリティテストはなぜ手動で行うのか？自動テストとの違いと必要性を解説

手動セキュリティテストとは？

ペネトレーションテスター（侵入テストの専門家）は、自身のスキルと経験を活かして手動によるセキュリティテストを実施し、脆弱性を抱えたアプリケーションを特定します。DAST（動的アプリケーションセキュリティテスト）ツールでは検出できない脆弱性も存在します。例えば、認可の欠陥やビジネスロジックの欠陥などは、熟練したペネトレーションテスターでなければ発見が困難です。

なぜセキュリティテストを実施するのか？

セキュリティテストの主な目的は、システムへの脅威と潜在的な脆弱性を特定することです。これにより、システムが悪用されたりハッキングされたりすることなく、安全に稼働し続けられる状態を維持できます。

なぜ手動テストが必要なのか？

手動テストでは、QAチームが直感に基づいて即座に判断を下すことができます。コードを自由に閲覧し、要素を思い通りに確認・テストできるため、このケースでは自動テストよりも低コストで、より迅速なフィードバックが得られます。

手動で行うテストにはどのようなものがある？

手動テストの一例として、自動化ツールを使わずにテストケースを手作業で実行するプロセスが挙げられます。エンドユーザーの視点からアプリケーションを操作してテストを行い、要件定義書に記載されたとおりにアプリケーションが機能していることを確認します。

セキュリティテストはいつ実施すべきか？

可能であれば、システムの変更が落ち着いたタイミングで、本番環境へ投入する直前にペネトレーションテストを実施するのが理想的です。システムやソフトウェアを本番稼働させる前にテストを行うことが、ベストプラクティスとされています。

手動セキュリティテストと自動セキュリティテスト、どちらが優れている？

ロジックに関する脆弱性は、自動化ツールでの検出が困難です。セキュリティ上の問題を特定するには、アプリケーションの適用範囲と処理フローを深く理解する必要があります。手動テストであれば、テスターは脆弱性や状況に応じて独自のエクスプロイト（攻撃手法）を考案できます。

手動テストにおけるセキュリティテストとは？

ソフトウェアテストの一種であるセキュリティテストは、システムの脆弱性を調査し、ユーザーのデータやリソースが潜在的な攻撃者から守られていることを確認する作業です。これにより、ソフトウェアシステムやアプリケーションに被害をもたらしうる脅威やリスクを未然に防ぎます。

セキュリティテストはどのように実施される？

自社のビジネスやソフトウェアに合わせてカスタマイズしたスクリプトを使い、スキャンを自動化することも可能です。一方、手動で高度なセキュリティテストを行う場合は、暗号化機能の評価、ユーザー管理機能のチェック、アプリケーションの徹底的な分析による潜在脆弱性の発見など、厳密なテストケースを作成します。

手動テストの主な手法

まず、ソフトウェア要件定義書（SRS）を確認して要件を把握します。次に、テスト計画を明確にし、ドキュメントに記載されたすべての要件をテストケースに盛り込みます。その後、QAリードにテストケースのレビューを依頼し、テストケースを実行してバグを検出します。

手動テストの具体例

手動で実施されるテストは、ツールや自動化スクリプトを使用せずに欠陥を検出することを目的としたものです。テスト計画書がテストプロセスの指針となり、テスト全体の網羅的な実行を支えます。

ソフトウェアのセキュリティテストの主な確認項目

ソフトウェアのセキュリティテストでは、以下のような項目を確認します。

• アクセス制御の管理状況
• 動的解析（ペネトレーションテスト）
• 静的コード解析
• サーバーのアクセス制御
• エントリーポイント・イグレスポイント・出口ポイント
• セッション管理
• パスワード管理
• ブルートフォース攻撃（総当たり攻撃）への耐性

手動テストにおける「要件」とは？

ソフトウェアアプリケーションの開発過程では、さまざまなテストが実施されます。テスト要件に応じて、機能テストにも非機能テストにもなり得ます。テスト計画では、テストケースを手動で実行する方法を明記します。また、Selenium WebDriverなどの自動化フレームワークを導入して、テストシナリオを自動化することもあります。

手動テストが必要とされる理由

手動テストの利点は、問題全体を最初から理解できる点にあります。自動テストは時間を節約でき、迅速な結果を得るのに優れていますが、手動テストの方が問題を概念的かつ感覚的に深く把握できます。

手動テストに分類されるテストの種類

テストライフサイクルの中で手動で実施されるテストとしては、受け入れテストが挙げられます。また、ホワイトボックステストやブラックボックステストも、手動で行われる代表的なテストです。

手動テストとは何か？

手動テストは、テスト自動化と対比される概念です。ソフトウェアに誤りがないかを人の手で確認するもので、テスターはアプリケーションのユーザーになりきって、意図したとおりに動作するかを検証します。

手動テストの進め方

テスターは、ソフトウェアプログラムに欠陥、バグ、その他の問題がないかを手作業で確認します。テストはエンドユーザーになったつもりで行い、すべての機能が正常に動作することを保証します。各テストケースはテスターが手動で実行し、実際のユーザーのようにアプリケーションの機能を操作します。

パフォーマンステストの手動実施方法

パフォーマンステストを手動で行う場合、一般的に以下の流れで進めます。

1. テストを実施する環境を分析する
2. パフォーマンス指標を特定する
3. テスト環境を構成・セットアップする
4. テスト設計を実装する
5. テストを実行する
6. 結果を分析・報告し、必要に応じて再テストする

なぜ手動テストを行うのか？

テスターは、ソフトウェアアプリケーションをデプロイする前に、手動テストによってバグや機能の問題を洗い出します。手動テストでは、アプリケーションの主要機能が正しく動作するかどうかも検証します。テストケースの実行やサマリーレポートの作成に、必ずしも自動化ツールは必要ありません。