スコープとガードレール

​

スコープで制御する内容

• プライマリドメインとアプリケーションの URL
• 同じターゲットに含まれる、追加で許可するドメインまたはルート
• エージェントが対象に含めるべきスコープ内のシステム
• エージェントが除外すべきスコープ外のシステム
• 重要なテナント、ワークスペース、アカウント、または環境の値
• 認証のコンテキストと認証情報のロール境界

​

よくあるスコープのパターン

​

ガードレールの種類

• Rate Limiting は、Auto、Aggressive、Reduced、Extreme Stealth の各モードでエージェントのリクエストペースを制御します。
• Scope は、ドメイン、IP、CIDR、ルート、その他のテスト範囲に関する Include と Exclude のエントリを保存します。
• Rules は、エージェントの動作に関する追加の制約を保存します。
• Custom Values は、テスト中にエージェントが知っておくべきターゲット固有のコンテキストを保存します。

​

スコープを設定する

1. Target Inventory を開きます。
2. ターゲットを選択します。
3. Guardrails タブを開きます。
4. デフォルトの自動ペース設定が適切でない場合は、Rate Limiting を設定します。
5. エージェントがテストすべきシステムの Include エントリを追加します。
6. エージェントが避けるべきシステムの Exclude エントリを追加します。
7. 破壊的な操作を避けるなど、動作の制約に関する Rules を追加します。
8. tenant_slug、workspace_id、organization_id、environment などのコンテキストに関する Custom Values を追加します。
9. アセスメントまたは Agent を開始する前に変更を保存します。

​

例

​

テナント対応の SaaS アプリ

Target: https://app.example.com
Login route: https://app.example.com/login
Tenant slug: acme-security
Include: /dashboard, /settings, /api
Exclude: /billing, /admin/delete-account
Rule: Do not trigger production emails or payment flows.

​

複数ドメインにまたがるログインフロー

Target: https://app.example.com
Login starts at: https://login.example.com
Include domains: app.example.com, login.example.com
Expected post-login page: https://app.example.com/dashboard

​

開始前の確認

• ターゲットが検証済みである
• 保存済みの認証情報が専用のテストアカウントである
• ログイン手順に、すべてのリダイレクトと必要な中間ステップが含まれている
• Include と Exclude のエントリが最新である
• 動作ルールが機密性の高いワークフローをカバーしている
• インフラで自動トラフィックをフィルタリングしている場合、WAF の許可リスト登録が完了している