2026/5/22 いわさ クラメソさっぽろIT勉強会(仮) #13 OWASP Juice Shop に AWS Security Agent で ペネトレーションテストを実施した結果 

⾃⼰紹介 2 

今⽇の話 3 ● AWS Security Agent の紹介 ● 実⾏の様⼦ ● いくつか気がついたこと ● まとめ 

AWS Security Agent の紹介 

AWS Security Agent の紹介 5 

AWS Security Agent の紹介 6 機能 対象 タイミング Design Review 設計書 設計フェーズ Code Review ソースコード（GitHub PR） 実装フェーズ Penetration Test デプロイ済みアプリ テストフェーズ 

実⾏の様⼦ 

実⾏の様⼦ 8 

実⾏の様⼦ 9 

実⾏の様⼦ 10 

いくつか気がついたこと 

ドメイン検証が必須 12 ● 攻撃対象のドメインは事前に所有権を証明する必要がある ● 検証⽅式: ○ DNS TXT（Route 53 同⼀アカウントなら One-click） ○ HTTP Route（Webサーバーにトークン配置） ○ Private VPC（VPC内リソース向け） 

ポート 80 / 443 じゃないとダメ 13 ● 最初ポート 3000 で公開 → エラー ● 標準ポートにマッピングし直す必要があった ● ALB を前段に置くか、ポートマッピングで対応 ● カスタムポートを使う業務アプリ等は要注意 

CloudWatch Logs に実⾏ログが出⼒される 14 ● ロググループ: /aws/securityagent/{agent-space名}/{pentest-id} ● タスクごとにログストリームが分かれている ● JSON 形式で各インタラクションが記録される 

CloudWatch Logs に実⾏ログが出⼒される 15 ● ログの例（CROSS-SITE-SCRIPTING タスク） { "interaction_number": 8, "response": { "content": [ { "type": "text", "text": "main.js has 13 bypassSecurityTrustHtml() calls. One assigns raw search input: this.searchValue = sanitizer.bypassSecurityTrustHtml(e). Targeting /#/search with XSS payload." }, { "type": "tool_use", "name": "bash", "input": { "command": "curl '.../#/search?q='" } } ] } } 

task-hours ≠ 実⾏時間 16 ● 複数タスクが並列実⾏される ● 実⾏時間 55分 → task-hours 3.66h ● $50/task-hour → 今回 $183（中断時点） ● 公式の料⾦例: ○ EC サイト規模: 4時間実⾏ → 24 task-hours → $1,200 ○ エンタープライズ SaaS: 9.5時間実⾏ → 31 task-hours → $1,563 

CloudTrail に証跡が残る 17 ● securityagent.amazonaws.com でイベント記録 ● StartPentestJob / CreatePentest 等 ● 開始‧中断のタイムスタンプが残る ● SCP とかで Deny すれば実⾏を制限可能 

まとめ 

まとめ 19 ● エージェントはソースコード解析から攻撃まで⾃律的に⾏う ● 料⾦は並列実⾏で膨らむ、事前に⾒積もりを ● ドメイン検証必須 → ⾃分のアプリにしか実⾏できない安全設計 

No content