Webアプリケーション脆弱性診断とは
Webサイトにおけるコンテンツ層に対して、攻撃者の視点から診断員がツールおよび手作業による擬似的な攻撃を行い（ブラックボックステスト） 、脆弱性の有無と対策手段を明らかにし、レポートにまとめてご報告するサービスです。診断中に深刻な脆弱性が発見された場合は、対策を含めて即ご報告致します。
サービスの特長
世界基準かつ経産省準拠の高い客観性のサービス
マニュアルによる丁寧な検証
制作ベンダゆえのノウハウと丁寧なレポート
1000サイト以上の豊富な導入実績
サービスご提供イメージ
主な診断項目
| 診断項目 | 左記脆弱性が存在することによって被る被害例 |
| 総当たり攻撃 Brute Force | IDやパスワードが簡単に推測可能であり、管理者や他のユーザに成りすまされてしまいます。 |
| もろいパスワード復元の検証 Weak Password Recovery Validation | ユーザがパスワードを忘れた際の回復方法に問題があり、パスワードの情報が外部に漏えいしてしまいます。 |
| セッションの推測 Session Prediction | セッション情報が推測しやすい値の場合、攻撃者は正しい値を推測し、管理者やユーザに成りすますことができます。 |
| 不適切な承認 Insufficient Session Expiration | 承認が不適切だと、アクセス権限の高いコンテンツや機能へのアクセスを認めてしまいます。これにより、攻撃者が他のユーザや管理者に成りすます危険性があります。 |
| コンテンツの詐称 Content Spoofing | 偽のコンテンツをあたかも正式なものであるかのように装ってウェブサイトに表示し、ユーザを欺きます。これにより、パスワードを抜き取られたり、フィッシング詐欺サイトへ誘導されたりする危険性があります。 |
| クロスサイト スクリプティング Cross Site Scripting （XSS） | サイトをまたがって不正な要求を送り、ユーザが意図していないスクリプトを実行させられてしまいます。その結果、例えば偽ページを表示することが可能になり、フィッシング詐欺などに悪用されてしまいます。 |
| OS のコマンド実行 OS Commanding | サーバ内のOSのコマンドを不正に実行されてしまいます。これにより、ウェブサイトからの情報漏えい、改ざん等の危険性があります。 |
| SQL インジェクション SQL Injection | DBサーバへのアクセスを不正に実行されてしまいます。これにより、ウェブサイトからの情報漏えい、改ざん等の危険性があります |
| 情報漏洩 Information Leakage | ウェブサーバから意図していない内部情報が外部に漏えいしてしまいます。 |
| ウェブサーバ・ アプリケーションの特定 Fingerprinting | ウェブサーバ、ウェブアプリケーションの種類やバージョン情報から脆弱性が探り出され、攻撃の足がかりとされてしまいます。 |
| 機能の悪用 Abuse of Functionality | ウェブサーバ、ウェブアプリケーションの持つ機能を不正に実行されてしまいます。その結果、SPAM（メールを大量配信すること）の中継地点に使われるなど、悪用されてしまいます。 |
成果物サンプル
サービスの特長
高い客観性のサービス
高度認定資格であるGIAC資格などの取得者を要する、最高技術レベルのチーム体制。ご提供するサービスはIPAが発表している「安全なWebサイトの作り方」および経済産業省「情報システムモデル取引・契約書＜追補版＞」をベースとした「スタンダードプラン（22項目診断）」と「アドバンスドプラン（31項目診断）」がございます。
マニュアルによる丁寧な検証
ツールだけのレポートではないマニュアル診断を実施しています。１機能ごと診断した結果を診断員が実際に検証し、真の脆弱性かどうかを判断しています。また問題箇所は実際のキャプチャーを報告資料に明示しますので、一目で脆弱性が理解出来ます。
制作ベンダゆえのノウハウと
丁寧なレポート
実際にサイトを数多く制作してきた開発ベンダゆえのノウハウがあります。診断結果を分かりやすく図解したレポートを作成し、Webサイトの現状と問題点をご報告いたします。さらに、問題箇所を分かりやすく解説し、脆弱性の対策についてもご提案致します。解説については、すべて弊社セキュリティチームメンバーが記述しますので、ツールが自動的に生成した説明とは、分かりやすさが違います。
1000サイト以上の豊富な導入実績
業界としていち早く診断サービスを立ち上げ、多種多様な業界と規模のWebサイトの診断を実施してきました。診断実績数は1000サイト以上と豊富な実績がございますので、安心してご依頼ください。
導入の流れ
- 機密保持契約の締結、情報提供
- お見積
- ご発注
- 診断スケジュール調整
- ヒアリングシートのご確認、ご記入
- 診断
- 深刻な問題が発見された場合は速報のご提出
- 報告書作成および納品
- オンライン報告会にて結果をご報告
- オプションで再診断をお申込みいただいている場合、スケジュール調整の上実施
画面数による概算見積
画面数ごとの概算費用については下記をご参考ください。
| 画面数 | 10 画面 | 30 画面 | 50 画面 |
| スタンダードプラン（22項目診断）の場合 | 77 万円 | 176 万円 | 275 万円 |
| アドバンスドプラン（31項目診断）の場合 | 88 万円 | 198 万円 | 308 万円 |
| 再診断（オプション） | 初回診断価格の 3 割 | ||
- 例）スタンダードプランで、10画面のサイト、再診断のオプションを含める場合
77 万円（基本料金）＋ 23.1万円（再診断）＝100.1 万円
関連サービス
ブログ
-
失敗しない脆弱性診断とは？診断サービスの選び方や、導入準備のコツをご紹介
システムやネットワークのセキュリティを確保するために、脆弱性診断サービスの利用が欠かせません。しかし、どのようにして最適な脆弱性診断サービスを選べばよいのでしょうか？本ブログでは、脆弱性診断サービスの選び方や診断実施に向けての準備につい… -
【新任のセキュリティ担当者様向け】企業が取り組むべきセキュリティ対策 | 脆弱性診断の重要性も解説
前回のブログでは、セキュリティ対策の新任ご担当者様向けに、セキュリティ対策の必要性について解説しました。今回は、具体的にどのような施策があるのかや、脆弱性診断の重要性についてご紹介します。 前回のブログをまだ読んでいない、という方は是非お… -
【新任のセキュリティ担当者様向け】セキュリティ対策の概要と必要性を解説
IT化が進んでいる現代社会において、セキュリティ対策は企業にとってはもはや必須とも言えます。セキュリティ対策推進のご担当者様におかれましては、重要性や方法を理解し、適切な手法やシステムを導入することが求められています。本ブログでは新任のご…
