サービス概要

株式会社セキュアスカイ・テクノロジーが提供する脆弱性診断サービスは、WebアプリケーションやOS・ミドルウェアなどに潜むセキュリティ上の問題点を、攻撃者の視点で診断するサービスです。Webアプリケーション診断とプラットフォーム診断に対応し、診断対象に応じた脆弱性の検出を支援します。

Webアプリケーション診断では、自社開発の診断ツールによる機械的な検査に加え、セキュリティエンジニアによる手動診断を組み合わせて実施します。ツール診断では多数の疑似攻撃パターンを短期間で正確に検査し、手動診断では認証・承認など、ツールによる検出が難しい脆弱性の確認を行います。事前に診断対象となり得るリクエストを確認し、対象選定も支援します。

プラットフォーム診断では、ネットワーク調査、主要サービスの調査、脆弱性調査を組み合わせ、通信装置やサーバーなどを対象に診断します。Nmapによるポートの開閉設定の確認や、Nessusによる脆弱性スキャンに加え、診断ログの精査などを実施し、ツールだけでは検出が難しい情報についても確認します。

また、診断中に危険度の高い脆弱性が確認された場合の速報や、診断結果をまとめた報告書を提供。診断後には、改修した脆弱性を対象とした再診断や、報告書提出後の相談・支援にも対応し、脆弱性の発見から対策まで継続的に支援します。

主なポイント

• ツール診断と手動診断を組み合わせ、Webアプリケーションの脆弱性を検出

Webアプリケーション診断では、自社開発の診断ツールとセキュリティエンジニアによる手動診断を組み合わせて、Webサイトに潜むさまざまな脆弱性を診断します。ツールによる網羅的な検査と、人による判断が必要な診断を組み合わせることで、脆弱性の検出を支援します。

＜自社開発の診断ツールによる効率的な診断＞
新たな攻撃や検出方法、セキュリティエンジニアからのフィードバックをもとに機能を強化している自社開発の診断ツールを使用。200～300パターンの疑似攻撃リクエストによる検査を実施し、短期間での診断を支援します。

＜ツールでは検出が難しい脆弱性を手動で診断＞
認証・承認などの権限周りの脆弱性や、なりすましなど正常通信と変わらない通信を利用した攻撃など、ツールによる検出が難しい脆弱性をセキュリティエンジニアが確認します。

＜サイトの特性を踏まえて診断箇所を選定＞
ツール診断を実施しながらサイトの特性や各ページでやり取りされるパラメータの意味を確認し、手動診断が必要な箇所を判断します。診断前には画面遷移やリクエストを確認し、診断対象の選定も支援します。

＜幅広いWebアプリケーションの脆弱性に対応＞
認証・承認、クロスサイトスクリプティング、SQLインジェクション、OSコマンドインジェクション、パス・トラバーサル、XXE、サーバーサイドリクエストフォージェリなど、Webアプリケーションに関するさまざまな脆弱性を診断します。

• ネットワークやサーバーの状態を確認し、プラットフォームの脆弱性を診断

プラットフォーム診断では、通信装置やサーバーなどを対象に、ネットワーク調査、主要サービスの調査、脆弱性調査を組み合わせて診断します。ツールによる検査結果をセキュリティエンジニアが精査し、ツールでは検出が難しいものについても手動診断にて調査します。

• ネットワークの構成・公開状況を調査
  TCPやUDPポートのスキャンやパケットフィルタリング調査を実施します。
• 主要サービスの設定・認証状態を確認
  FTPやSMTP、DNS等々の主要サービスの調査、パスワードの簡易推測調査、認証調査、メソッド調査などを確認します。
• 脆弱性情報を収集・診断ログを精査
  診断によって取得した情報をもとに関連する脆弱性情報を収集するとともに、診断ログを精査して脆弱性を洗い出します。
• リモート診断・オンサイト診断に対応
  診断サーバーを介してインターネット経由で診断を実施。要望に応じてオンサイトでの診断にも対応します。

• 診断前の事前調査から、再診断・サポートまで継続して支援

脆弱性診断を実施するだけでなく、診断前の事前調査から診断対象の選定、診断結果の報告、改修後の再診断まで、一連のプロセスに対応します。診断対象を事前に整理したうえで診断を実施し、診断結果を分かりやすくまとめて提供することで、脆弱性の把握から対策までスムーズに進められます。

＜診断前の事前調査で診断対象を整理＞
診断対象サイトの画面遷移や機能を確認し、診断対象となり得る箇所を画面遷移図として整理します。診断対象を確認した上で、予算やご要望に応じて優先的に診断すべき箇所を選定することも可能です。また、診断に関する確認や連絡をスムーズに行えるよう、メールに加えてSlackやMicrosoft Teamsでのやり取りにも対応しています。

＜危険度Medium以上の脆弱性は1回まで無償で再診断＞
企業側で改修を実施した後、報告した脆弱性のうち危険度がMedium以上のものについて、1案件につき1回まで無償で再診断を実施します。再診断では、修正された箇所について脆弱性が再現しないことを確認します。

＜診断結果を分かりやすくまとめた報告書を提供＞
Webアプリケーション診断・プラットフォーム診断ともに、診断で発見した脆弱性を報告書にまとめて提供します。検出された脆弱性について危険度を示し、診断結果を確認しやすい形で整理することで、脆弱性の把握や対応方針の検討に役立てられます。

＜診断速報で早期の対応をサポート＞
Webアプリケーション診断では、診断実施中に危険度Medium以上の脆弱性が見つかった場合、都度速報を提出します。また、プラットフォーム診断では、危険度Criticalの脆弱性が見つかった場合、診断最終日の翌営業日に速報を提出します。

＜報告書提出後の支援＞
報告書提出後3ヶ月間、報告書の内容や診断結果についての質問に対応します。診断結果の理解を深め、今後の施策検討に役立てられます。

料金

※オプションは別途。詳細はお問い合わせください。
※上記は弊社からリモートで診断を行う場合の料金です。オンサイトでの診断およびオンサイトでの再診断につきましては別途ご相談ください。
※Webアプリケーション診断とプラットフォーム診断の併用でお得になります。別途お問い合わせください。

※Webアプリケーション診断
・HTTP/HTTPSのリクエスト数をカウントします。
・Webアプリケーション診断では、起点となるURLが複数ある場合、起点URLごとの見積となります。
・Webアプリケーション診断では、サイトやログイン機能が複数ある場合は、別途費用が発生する場合がございます。
・Webアプリケーション診断の再診断では、危険度「Medium」「High」の脆弱性を対象に、1案件につき1回を無償で提供します。ただし、オンサイト診断の場合は別途見積となります。
・API診断の場合は、内容に応じて上記基本料金から価格が変動する可能性がございます。別途ご相談ください。

※プラットフォーム診断
・診断対象にWebサーバーがある場合、1IPアドレスについて1ホストでカウントします。バーチャルホストが複数ある場合は2バーチャルホスト毎に1IPアドレスとしてカウントします。
・プラットフォーム診断の再診断では、危険度「Medium」「High」「Critical」の脆弱性を対象に、1案件につき1回を無償で提供します。ただし、オンサイト診断の場合は別途見積となります。また、原則として診断時と同じIPアドレス / ホスト名に対して再診断を実施します。
・プラットフォーム診断の再診断におけるIPアドレス/ホスト名/FQDNが診断時から変更となる場合は、通常の診断費用が発生します。
・プラットフォーム診断では、VPN接続での診断、クライアント証明書を導入しての診断等、特殊な条件下での診断は別途費用が発生します。

会社概要

資料ダウンロード

• 

  サービスの詳しい情報をチェック！

  脆弱性診断サービス（Webアプリケーション診断＆プラットフォーム診断）

  資料をダウンロードする(無料) 資料をダウンロードする(無料)

• 

  複数のサービスを比較できる！

  カンタン30秒一括資料ダウンロード

  すべての資料をダウンロードする(無料) すべての資料をダウンロードする(無料)