Open bishopfunc opened 1 year ago
https://www.sciencedirect.com/science/article/pii/S0167404821000286 概要 クロスサイトスクリプティング（XSS）脆弱性に対するウェブアプリケーションのテストを自動化するツールは、強力な知識ベースを持っている場合にうまく機能する。しかし、これらのツールはブルートフォースに大きく依存しており、常に効果的な選択とは言えません。一方、専門家であるペネトレーションテスターは、より正確であるが、しばしば構造化されていないエクスプロイト手法を採用する。我々は、侵入テスト担当者に行動を推奨するSuggesterと呼ばれる知的エージェントを設計・実装することで、上記の問題を解決することを提案する。まず、侵入テスト者の行動から着想を得て、ブラックボックステスト手法を開発する。この方法論は、ウェブアプリケーションに一連の文字列を送信し、その応答を観察することからなる。次に、多目的強化学習環境（Multiobjective Reinforcement Learning environment: MORL）のフレームワークを用いて、行動空間をパラメータ化した攻撃文字列を生成するエージェントを学習させる。各攻撃文字列は到達すべき個別の目的として識別される。Q-Learningは、エージェントを別々の無関係な目的に基づいて訓練するために使用される。そして、学習された行動はループ内の人間に提案され、人間はその行動を実行し、観測を収集する。これにより、エージェントは正しい目的を追求し、次に推奨される最適な行動を選択するように編成される。最終評価では、提案ソリューションのスケーラビリティを証明するとともに、他の自動スキャナーと比較して精度が向上していることを示した。
www.DeepL.com/Translator（無料版）で翻訳しました。
https://www.sciencedirect.com/science/article/pii/S0167404821000286 概要 クロスサイトスクリプティング（XSS）脆弱性に対するウェブアプリケーションのテストを自動化するツールは、強力な知識ベースを持っている場合にうまく機能する。しかし、これらのツールはブルートフォースに大きく依存しており、常に効果的な選択とは言えません。一方、専門家であるペネトレーションテスターは、より正確であるが、しばしば構造化されていないエクスプロイト手法を採用する。我々は、侵入テスト担当者に行動を推奨するSuggesterと呼ばれる知的エージェントを設計・実装することで、上記の問題を解決することを提案する。まず、侵入テスト者の行動から着想を得て、ブラックボックステスト手法を開発する。この方法論は、ウェブアプリケーションに一連の文字列を送信し、その応答を観察することからなる。次に、多目的強化学習環境（Multiobjective Reinforcement Learning environment: MORL）のフレームワークを用いて、行動空間をパラメータ化した攻撃文字列を生成するエージェントを学習させる。各攻撃文字列は到達すべき個別の目的として識別される。Q-Learningは、エージェントを別々の無関係な目的に基づいて訓練するために使用される。そして、学習された行動はループ内の人間に提案され、人間はその行動を実行し、観測を収集する。これにより、エージェントは正しい目的を追求し、次に推奨される最適な行動を選択するように編成される。最終評価では、提案ソリューションのスケーラビリティを証明するとともに、他の自動スキャナーと比較して精度が向上していることを示した。
www.DeepL.com/Translator（無料版）で翻訳しました。