[新製品・サービス]

2022年11月17日(木)日川 佳三（IT Leaders編集部）

リスト

　Flatt Securityの「SPA診断」は、Webアプリケーション画面のセキュリティ診断サービスである。クライアント画面を1つのWebページで実現するSPA（Single Page Application）の仕組みで実装したWeb画面を対象に、ソフトウェアの脆弱性を調査・検証する（図1）。

図1：SPAで実装したWeb画面の脆弱性をソースコードから診断する「SPA診断」の概要（出典：Flatt Security）

　SPAは、Webブラウザの単一ページ上で、ページ遷移なしにリッチなコンテンツを提供する開発手法のこと。SPA以前のWeb画面がコンテンツの切り替えごとにWebページを切り替えていたのに対して、SPAでは単一ページ上でページを切り替えることなく各種のコンテンツを表現する。SPAを実装したWeb画面は使い勝手を向上させやすいため、近年のWeb開発のトレンドになっている。

　SPA診断では、セキュリティエンジニアがSPAのソースコードや仕様書、設計書を調査・検証することで脆弱性をチェックする「ホワイトボックス形式」の診断メニューを提供する。「ブラックボックス形式」（外部からの擬似攻撃によって脆弱性を調査）の診断では発見が難しい脆弱性も検出する。

　別途、Webアプリケーションのシステム全体をブラックボックス形式で診断する「Webアプリケーション診断」と組み合わせることによって、Webアプリケーション全体の脆弱性を詳細に調査・検証可能である。表1は、SPA診断で調査する脆弱性の例である。

　「SPAの登場とともにWeb画面で実現可能な機能の幅が増えたことで、サーバーサイドだけでなくフロントエンドの脆弱性に対処することが必要不可欠になった」（Flatt Security）。なお、同社は以前からブラックボックス形式でWebサービスのフロントエンドとバックエンド両方の脆弱性を調査する「Webアプリケーション診断」を提供してきた。