By Elvira Khusainova, Senior Test Automation Engineer at Deutsche Telekom ITTC Hungary 「セキュリティはもはや部門ではなく、考え方であり、テストはそこから始まる」 Elvira Khusainova 2025年には、あなたのモバイルアプリがハッキングされることはもはや驚きではありません。 正しい人々が正しい(破壊的な)質問をしていたら。 how early in the process those breaches could’ve been stopped これらの人々はますます、彼らはQAエンジニアです。そして私たちの多くは、 new identity: part tester, part ethical hacker. 攻撃者のように考えるテスト 伝統的なQAは期待される行動を確認することだったが、それは物語の半分にすぎない。 「何かを証明するだけのテスト」 本当のテストは、それを証明しようとする必要があります。 」とエルヴィラは言う。 作品 壊れるかも デューシュ・テレコムの現在の役割では、Elvira は Selenium ベースの UI オートメーションを OWASP ZAP、Burp Suite、Postman、Metasploit などのツールと組み合わせています。彼女のテスト スクリプトはボタンを検証するだけでなく、ブルートフォース攻撃をシミュレートし、誤った JWT をチェックし、XSS と CSRF のリスクのための API を混同します。 QAツールがセキュリティツールに変わる テストフレームワークとQAプラットフォームは、かつては penetration testers に独占していた機能に浸透している: Elvira によると、QA エンジニアが使用する多くのツールは現在セキュリティ資産として倍増しています。 実践でこの変化がどう見えるかは、以下です。 Selenium WebDriver はまだ UI テストのためのプロセスですが、今では OWASP ZAP または Playwright と一緒に、より深い分析に使用されています。 API テストの主要な要素である Postman は、Hoppscotch または Burp Suite とますます組み合わせられ、不正なアクセスや注入の試みをシミュレートしています。 JenkinsとGitLab CIは、テスト自動化だけでなく、構築プロセスの一環としてOWASP Dependency Checkなどの組み込みセキュリティチェックを実行しています。 ElviraのチームはBDDを脅威モデリングで補完し、最初のコードが書かれる前にユーザーストーリーを潜在的な攻撃ツリーに変換します。 AIは転換を加速している。 彼女のチームの最新のイニシアチブでは、Elviraは、 潜在的なビジネスロジックの脆弱性を特定するだけでなく、テストカバーだけでなく、脅威の発見についても言及していました。 LLMs to generate attack simulations 「我々は過去のエクスペリットデータについて地元のGPTエージェントを訓練し、長年にわたり欠けていたリグレーション・スイートのエッジケースシナリオを表面化し始めた」 AIがQA戦略を再定義している方法は以下の通りです。 悪意のあるユーザーフローの自動生成 要件を攻撃木に自動変換する ドレスの下でのシミュレートユーザー行動(ロード + 侵入) QA・セキュリティ文化の格差 多くの組織はセキュリティを孤立した監査チームに組み込んでいます Elvira は、これは時代遅れだと主張しています。 「セキュリティレビューが行われるときには、すでに遅すぎます。QAは1日からセキュリティを所有すべきです。 彼女はクロストレーニングを提唱し、ジュニア・テスターにKali LinuxやOWASP Juice Shopなどのツールへの接触を与え、埋め込む。 . basic threat modeling into agile sprint planning 次に何が来るのか。 エルヴィラは、次のように未来を見る。 すべてのQA雇用者は脆弱性スキャンを実行する方法を知っています。 CIパイプラインは、壊れた機能だけでなく、オープンポートや弱い自動運転システムでも失敗します。 セキュリティはハンドフではなく共通の言語になる 次のプロジェクトは?インストール で、 そして、 エンタープライズリリースサイクル accessibility testing performance under exploit secure-by-default test frameworks 最終思考 テスターは常にユーザーエクスペリエンスの擁護者であり、2025年には信頼、データ、およびアップタイムの擁護者でもあります。 それは単に「うまくいくか?」だけではなく、「私たちを壊すことができるか?」についてです。 And that's a question QA should be asking first.

This story contains new, firsthand information uncovered by the writer.

このオーディオは、ストーリーの元の言語で制作されています。

長すぎる; 読むには

CTA: Download the FREE AI Productivity Shift report

QA Is the New Red Team: Why Ethical Hacking Starts in the Testing Phase(QAは新しいレッドチームである:なぜ倫理的なハッキングがテスト段階で始まるのか)

About Author

コメント

ラベル

この記事は

Related Stories

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

暗号通貨の成長: 効果的なユーザーペルソナの作成

フォーラムからフィードへ: ソーシャルメディアアルゴリズムがデジタルインタラクションを形作る仕組み

目に見えない層: ユーザーインタビューがかけがえのない資産である理由

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

暗号通貨の成長: 効果的なユーザーペルソナの作成

フォーラムからフィードへ: ソーシャルメディアアルゴリズムがデジタルインタラクションを形作る仕組み

目に見えない層: ユーザーインタビューがかけがえのない資産である理由

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps