平素より弊社サービスをご利用いただき誠にありがとうございます。
このたび、AeyeScanの評価基準を変更しましたので、以下の通りご案内いたします。
評価基準をASVS v4.0からv5.0に変更
背景
2025年5月に、OWASPよりASVSの最新版v5.0が正式発表されました。
ASVS v5.0は、前バージョンの内容が見直され、要求項目の整理や改善、適正化が図られています。AeyeScanでも、従来利用してきたv4.0からv5.0へ移行することで、より実態に即した診断結果を提供できるよう、この最新版を適用することといたしました。
また、評価基準の変更に伴い、以下の通りスキャンルールを追加・変更しております。
スキャンルール追加
- HTTP GETメソッドによる確定処理
- 安全でないWebSocket通信
- 固定のセッションID
- JWTトークンの署名検証の不備（API）
- JWTトークンの署名検証の不備
スキャンルール変更
- Set-CookieヘッダのSecure属性の不備
- Strict-Transport-Securityヘッダの不備
- パスワード強度の不備
- セッションIDの強度の不備
機能概要
スキャンルールセット「WEBアプリケーションスキャン」を利用して診断する場合は、自動で本スキャンルールも適用されるため、お客様側での対応は不要です。
※作成済のカスタムスキャンルールセットには自動で追加されないため、カスタムスキャンルール作成済みの場合は、お客様にて本スキャンルールを追加いただく必要があります。
なお、今回の変更につきまして、「AeyeScanの重要な仕様変更」としてQ＆Aページを作成しております。
詳細につきましては、以下リンクにてご確認ください。
【重要なお知らせ】AeyeScanの ASVS v5.0対応について
リリース日
2025年12月6日（土）
最後に
AeyeScanはさらなる精度の向上と新たな価値の提供を目指し、今後も機能追加・改善に努めてまいります。
本アップデートについてご不明な点がございましたら、info@aeyesec.jp までご連絡ください。
