セキュリティ診断サービス

目次

• こんな悩みをお持ちのお客様にお勧めのサービス
• セキュリティ診断の必要性
• 脆弱性が及ぼすリスク
• セキュリティ診断サービスとは
• セキュリティ診断実施フロー

こんな悩みをお持ちのお客様にお勧めのサービス

• Webサイトで「お問い合わせフォーム」や「○○募集フォーム」等を公開している。 脆弱性の診断をして欲しいが・・安価で頼めないか？
• Webアプリケーション開発を行っており、納品前に脆弱性が無いかが心配！！ 第三者の視点で確認してほしい。
• 万一公開Webサイトがハッカーの攻撃によりダウンしてしまったら、ビジネスに非常に大きな影響がある！！問題が無いか確認したい。
• 専門業者によるセキュリティ診断を受けたことが無い。
アルファネットなら

当社のセキュリティスペシャリストが、実際にハッキングで使われる 技術と同じ手法を用いてお客様のWebサイトやネットワーク機器へ外部ネットワークから擬似攻撃を行い、ハッキング 耐性を診断、報告書に纏めお客様にご提出します。　

セキュリティ診断の必要性

高度なハッキングツール

ハッキングの知識が無くとも、高度なハッキングが出来るツールや、発信元を隠蔽するツールなどが出回っていることもあり、企業Webサイトへの攻撃が増加傾向にあります。当社が診断したサイトの中では、データベースのテーブル名が全て閲覧可能な脆弱性が見つかりました。（SQLインジェクション）実際にこの脆弱性を突いた攻撃を仕掛けられた場合、会員のIDとパスワード全てが外部から閲覧可能となり、会員と企業の双方が大きな損害を受けた可能性があります。

システムに脆弱性

自社が保有しているシステムに脆弱性があると、システムの直接の利用者だけにとどまらず、多くの人に対して大きな被害を与えてしまう可能性があります。 近年では、被害を受けた企業が直接保有している重要な機密情報や個人情報の流出だけでなく、被害を受けた企業のシステムが踏み台にされて関連する取引先にも被害が広がっていく「サプライチェーン攻撃」が大きな社会問題となっています。

不正アクセスを受けてしまうと

不正アクセスを受けてしまった場合の影響範囲は想像以上に広くなる可能性があり、被害規模によっては信頼の低下や風評被害はもとより、企業としての社会的責任の追及を免れない状況が訪れてしまうことも十分考えられます。先に述べたことは、あくまでこの上なく悪いケースの1つですが、このような状況にならないためにも、情報システムの脆弱性やセキュリティの堅牢性などを確認しておくことを推奨します。

　

脆弱性が及ぼすリスク

Webサイトの改ざんにより知らぬ間に加害者に！

ドライブバイダウンロード

Webサイトが改ざんされると、ランサムウェアなどのマルウェアの配布サイトにされてしまう場合があり、サイト訪問閲覧者に対して大きな被害を与えてしまう可能性があります。 マルウェアの侵入経路の代表的な例として、ユーザーが閲覧したWebサイトから知らないうちにマルウェアをダウンロード してしまう「ドライブバイダウンロード」などがあげられます。

水飲み場攻撃

特定の企業や組織等を標的に機密情報などを窃取する「標的型攻撃」の手法の一つにある「水飲み場攻撃」は、攻撃対象となるユーザーが普段アクセスするWebサイトを改ざんし、サイトを閲覧しただけでマルウェアに感染するような罠を仕掛ける攻撃方法となります。ターゲット以外の企業／組織に所属しているユーザーには攻撃が行われないため、発見が非常に困難です。

脆弱性が出てしまう原因として考えられること

• アプリケーションのプログラムミス・・・プログラム作成時の設計ミスなどが考えれ脆弱性の原因
• Webサーバ設定やコンテンツ管理ミス・・・アクセス制御やコンテンツ配置ミスなどが脆弱性の原因
• 既知の脆弱性とパッチ未適用・・・バグが出た際にパッチ適用が漏れてしまうと脆弱性の原因

セキュリティ診断サービスとは

擬似攻撃

お客様のホームページや外部からアクセス可能なサーバ／ネットワーク機器に対し、セキュリティ監査センターよりインターネット越しに擬似攻撃を行うサービスです。実際にサイバー攻撃で使われる既知のあらゆる手法を使い攻撃を行います。複数の診断ツールを使用することで検出精度を高めることを基本に、さらに独自開発スクリプトや手動診断を取り入れ、診断ツールでは実現出来ない圧倒的検出力で、ホームページやサーバ／ネットワーク機器に潜む脆弱性を徹底的に洗い出します。

セキュリティ脆弱性の有無を調査

お客様のITシステムに潜むセキュリティ脆弱性の有無を調査し、報告書にまとめご提供します。報告書は、脆弱性が見つかった場所や危険内容、危険度合い、有効な対策等を詳しく記載し、お客様にすぐに対策に取り掛かって頂くことが出来る内容としています。

セキュリティ診断・ペネトレーションテストの違い

アルファネットでは、セキュリティ診断サービスの他に、「ペネトレーションテスト（侵入テスト）」をご用意しています。 実施目的や評価の観点が異なるサービスとなりますので、それぞれの違いにつきましては下記表をご参照ください。

セキュリティ診断・ペネトレーションテスト比較表

	セキュリティ診断	ペネトレーションテスト
目的	脆弱性を網羅的に洗い出し検査	攻撃者の目的(情報搾取や改ざん、妨害など)が達成できるか検証 目的達成のための脆弱性の検査や実行可能な攻撃コードの検証
評価	IPAなどのセキュリティ規格を基準に検査・分析・評価	実際のサイバー攻撃同様に、目的の攻撃が達成できるか検証
報告	個々の脆弱性に対する危険度評価とリスト化	シナリオと攻撃検証結果・システムリスク評価
網羅性	あり	なし
スキル	脆弱性の指摘	脆弱性の活用



改ざんや踏み台にされる事があるのかなど検証し実際のリスクを検証できるペネトレーションテストはこちらです。

ペネトレーションテスト（侵入テスト）

実施フロー



当社とお客様

• ヒアリング
• リクエスト数・画面数
• 画面遷移図
• グローバルIPアドレス数
  等のご提示



当社とお客様

• 対象リスト送付
• ヒアリングシート
• 注意事項確認
• スケジュール確定
• テストアカウント発行
• 診断時の注意事項送付



当社対応

• 開始・終了連絡
• 緊急時の対応
  （サイトアクセスできない等）
• 結果速報メール
  （ご希望のお客様、緊急度の高い
  脆弱性が発見された場合）



当社対応

• 結果報告書
  (wordファイル)
• 報告会
  (オプション)

目次

• Webアプリケーション診断（手動）
• Webアプリケーション診断項目
• スマホWebAPI診断
• スマホWebAPI診断項目
• Webアプリケーション診断サービス価格
• リクエストとは

Webアプリケーション診断（手動）

• Webサーバ上で稼動するアプリケーションの動的ページに対し、当社のセキュリティスペシャリストがSQLインジェクションやクロスサイトスクリプティングを始めとする既知の攻撃手法を実際に用いてセキュリティ脆弱性診断を行います。これにより、対象となるWebサイトの機密（重要）情報漏えい、なりすまし、ネットショップサイトの価格改ざん、フィッシング等々の被害の危険性を洗い出すことができます。 動的ページとはネットショッピング、資料請求、QAのようなエントリーフォームに代表される.jsp、.aspx、.phpなどで作成されたWebコンテンツの内容をWebアプリケーションで生成するページを指します。

Webサービスの動的ページに対し、外部から擬似攻撃！！

Webアプリケーション診断項目

• スタンダード
  
  SQLインジェクションやクロスサイトスクリプティングなど特に代表的な攻撃手法を用いた診断サービスです。 既知の大半の攻撃事例を網羅します。


• アドバンスド
  
  スタンダードでご提供するサービスに加え、多数の脆弱性の有無を診断。Webアプリケーションセキュリティのスペシャリストが、実際の攻撃者と同じ目線で検証パターンをピックアップし、手作業による深度の深い検査をご提供いたします。サイバー攻撃のビジネスインパクトが特に大きいお客様にお薦めしています。

スマホWebAPI診断

モバイルアプリからサーバへ検証コードを送信することにより、「サーバ側アプリケーションの脆弱性」の有無をチェックします。
（※Androidのみの対応となります。 ）診断例：ECサイト、会議室予約サイト、ログインの発生するサイト等

WebAPIとは？

一般的にはHTTPプロトコルによるアプリケーションとのインターフェースを指します。

当社のスマホアプリ診断では、スマホからの通信を受け取るWebアプリケーションを指しています。

※そもそもAPIとは、Application Programming Interfaceの略語でプログラミングをする際の規約、関数（メソッド）の集合等を指します。WebAPIとは「ネットワーク越しに利用できる関数でAPIにWebサービスを付与したもの」で「Webアプリケーションの情報を取得することができる仕組み」です。

スマホWebAPI診断項目

スマホWebAPIに対する診断は、Webアプリケーション診断(手動） アドバンスドと同じような内容の診断を実施します。

Webアプリケーション診断サービス価格

Webサービスの動的ページに対し、外部から擬似攻撃をいたします。1リクエスト毎に料金が異なります。

• Webアプリケーション診断（手動）
  参考料金 1リクエスト（報告書を含む）￥240,000～
• スマホWebAPI診断(※Androidのみの対応となります。)
  参考料金 1リクエスト（報告書を含む）￥250,000～

おまかせプラン

ご予算等に合わせてお客様に対象数を決定いただき、その数を上限に当社エンジニアが診断対象を選定し、診断を行うサービスです。 ご相談ください。

• 予算は決まっているがどこを診断したいかわからない。
• 診断したいリクエスト数は決まっているがどこを優先して調べたらよいかわからない。

リクエストとは

リクエストとは、ブラウザとWebサーバ間で発生した通信のことを指します。 一般的には、リンクやボタンを押下した際の画面遷移数がリクエスト数と同じ数になる傾向があります。

詳細はこちらをご参照ください。セキュリティ診断 リクエスト数の考え方

目次

• ネットワーク診断（プラットフォーム診断）
• ネットワーク診断（プラットフォーム診断）項目
• ネットワーク診断サービス価格

ネットワーク診断（プラットフォーム診断）

• 商用／フリー診断ツールや独自開発ツールと手動診断を組み合わせサーバやネットワーク機器のセキュリティ脆弱性を診断致します。複数の手法の組み合わせにより誤検知や検出漏れを効果的に防ぎ、500パターン以上のメール不正中継可否検査、不要サービスポートのオープン状況確認、ゾーン情報／バージョン情報読出しチェック、DoS耐性診断等、4000種以上の診断項目で既知の潜在的な脆弱性の把握が可能となります。

ネットワーク機器(サーバやルータなど)に対し、外部から擬似攻撃

ネットワーク診断（プラットフォーム診断）項目

ネットワーク診断サービス価格

• ネットワーク診断(プラットフォーム）
  ネットワーク機器（サーバやルータなど) に対し、外部から擬似攻撃　￥250,000～

セキュリティ診断サービス資料

セキュリティ診断関連リンク

• セキュリティ診断サービスFAQ

お客様事例

• お客様事例　サイバーセキュリティ対策を支援する3つのサービス導入事例
• セキュリティ診断事例

セキュリティ記事

• セキュリティ診断 リクエスト数の考え方
• セキュリティ診断の実施ポイント！気になった時に実施すべき診断
• セキュリティ技術情報