POINT アピリッツの3つの安心ポイント
-
01
情報セキュリティサービス基準適合
経済産業省の定める「情報セキュリティサービス基準新しいウィンドウで開く」に適合したサービスです。
登録番号: 020-0022-20
-
02
専任の診断エンジニアが対応
システム開発の最前線を知り尽くした、セキュリティ専門の専任エンジニアが攻撃者の視点で丁寧に診断を実施します。
-
03
15年以上の豊富な実績
診断サービスについては15年以上の提供実績があり、多様なシステム環境・ビジネスロジックにおける脆弱性のノウハウを蓄積しています。
FEATURES あらゆるシステム特性に適応する診断アプローチ
100万ユーザー規模の大規模システムから、高度な機密性が求められる官公庁・金融機関まで。
システム開発の最前線を知り尽くしたエンジニアが、ビジネスロジックの深淵に潜む脆弱性を暴きます。
手動診断をメインとした高精度なアプローチ
自動ツールだけでは発見が困難な「権限昇格」「意図しない状態遷移」「ビジネスロジックの欠陥」に対して、弊社の専門エンジニアが攻撃者の視点で手動による深い探索を実施します。
-
官公庁・自治体
-
金融・保険機関
-
100万UU規模 会員サイト
-
BtoC / BtoBtoC サービス
大規模サイト向け：ハイブリッド診断のご提案
対象となるHTTPリクエストが膨大な大規模サイトの場合は、コストと品質を最適化するため、網羅的な「自動ツール診断」と、重要機能（認証・決済等）に特化した「手動診断」を組み合わせたハイブリッド診断をご提案可能です。
幅広い業務システムへの対応実績
単なるWebサイトにとどまらず、企業の根幹を担う複雑な業務システムの診断実績を多数有しています。開発会社としてのドメイン知識を活かし、システムごとの特性を踏まえた診断を実施します。
STANDARDS 国際水準・公的基準に準拠した診断要件
IPA「ウェブ健康診断仕様書」、OWASP ASVSに準拠。さらに弊社独自の基準やPCI DSS基準の一部を取り入れ、
システムの機密性に合わせた網羅的な診断項目を提供します。
各基準の見出しをクリックすると、診断項目と診断内容の一覧をご覧いただけます。
IPA ウェブ健康診断仕様書 IPA「ウェブ健康診断仕様書」（2019年5月版）準拠 / 全20項目 診断項目を見る 閉じる
| No | 診断項目 | 診断内容 |
|---|---|---|
| 1 | SQLインジェクション | 入力値を利用したSQL文の不正操作が可能でないことを確認する |
| 2 | OSコマンドインジェクション | サーバOSコマンドが不正に実行できないことを確認する |
| 3 | ディレクトリトラバーサル | 意図しないファイル・ディレクトリへアクセスできないことを確認する |
| 4 | パス操作 | ファイルパス指定による不正アクセスができないことを確認する |
| 5 | クロスサイトスクリプティング（XSS） | 任意スクリプトが実行できないことを確認する |
| 6 | CSRF | 利用者の意図しないリクエストが実行されないことを確認する |
| 7 | HTTPヘッダインジェクション | HTTPレスポンスヘッダを改ざんできないことを確認する |
| 8 | メールヘッダインジェクション | メール送信処理を悪用できないことを確認する |
| 9 | セッション管理 | セッション管理が適切に行われていることを確認する |
| 10 | 認証機能 | 認証機能に不備がないことを確認する |
| 11 | 認可制御 | 権限外アクセスができないことを確認する |
| 12 | ファイルアップロード | 不正なファイルのアップロードや実行ができないことを確認する |
| 13 | SSL/TLS設定 | 通信暗号化設定が適切であることを確認する |
| 14 | Cookie設定 | Cookie属性が適切に設定されていることを確認する |
| 15 | エラーメッセージ | システム情報が漏えいしないことを確認する |
| 16 | デバッグ情報 | デバッグ機能や開発情報が公開されていないことを確認する |
| 17 | バージョン情報漏えい | ソフトウェア情報が不用意に公開されていないことを確認する |
| 18 | DNS設定 | DNS設定にセキュリティ上の問題がないことを確認する |
| 19 | 暗号化 | 機密情報の暗号化が適切であることを確認する |
| 20 | ログ管理 | 監査ログおよびログ保護が適切であることを確認する |
OWASP TOP 10 OWASP Top 10:2021 準拠 / 全10カテゴリ 診断項目を見る 閉じる
| No | カテゴリ | 診断内容 |
|---|---|---|
| A01 | アクセス制御の不備 | アクセス制御不備により権限外アクセスができないことを確認する |
| A02 | 暗号化の失敗 | 暗号化不備による情報漏えいリスクがないことを確認する |
| A03 | インジェクション | SQL、OSコマンド等のインジェクション攻撃が成立しないことを確認する |
| A04 | 安全でない設計 | 設計上の欠陥やセキュリティ考慮不足がないことを確認する |
| A05 | セキュリティの設定ミス | セキュリティ設定不備が存在しないことを確認する |
| A06 | 脆弱で古くなったコンポーネント | 脆弱なコンポーネントや古いソフトウェアが利用されていないことを確認する |
| A07 | 識別と認証の失敗 | 認証機能に不備がないことを確認する |
| A08 | ソフトウェアとデータの整合性の失敗 | ソフトウェア更新やデータ整合性の保護が適切であることを確認する |
| A09 | セキュリティログとモニタリングの失敗 | ログ取得・監視体制が適切であることを確認する |
| A10 | サーバーサイド・リクエスト・フォージェリ | サーバから任意サイトへアクセスできないことを確認する |
OWASP ASVS 分類 OWASP ASVS 4.0.3 準拠 / 全14分類 診断項目を見る 閉じる
| 項番 | ASVS分類 | 診断内容概要 |
|---|---|---|
| V1 | アーキテクチャ・設計・脅威分析 | セキュリティ設計および脅威分析が適切に実施されていることを確認する |
| V2 | 認証 | ユーザ認証機能が適切であることを確認する（MFA、SAML、ロック等） |
| V3 | セッション管理 | セッション管理が安全に実装されていることを確認する（失効制御、属性等） |
| V4 | アクセス制御 | 認可制御が適切に実装されていることを確認する（権限昇格対策等） |
| V5 | 入力値検証・出力エンコード | 入力値検証および出力制御が適切であることを確認する（各種インジェクション対策） |
| V6 | 暗号化 | 暗号技術の利用が適切であることを確認する（鍵管理、ハッシュ化等） |
| V7 | エラー処理・ログ | エラー処理およびログ管理が適切であることを確認する（改ざん防止等） |
| V8 | データ保護 | 個人情報や機密情報が適切に保護されていることを確認する |
| V9 | 通信保護 | 通信経路が適切に保護されていることを確認する（HTTPS強制、TLS設定等） |
| V10 | 悪性コード対策 | 悪意あるコード混入防止策が実施されていることを確認する |
| V11 | ビジネスロジック | 業務ロジック上の不備が存在しないことを確認する（状態遷移、二重送信、金額改ざん等） |
| V12 | ファイル・リソース | ファイル操作およびリソースアクセスが適切に制御されていることを確認する |
| V13 | API・Webサービス | APIおよびWebサービスのセキュリティが適切であることを確認する（JWT、CORS等） |
| V14 | 構成管理 | システム構成および設定が適切であることを確認する（クラウド設定、コンテナ等） |
FLOW 診断の流れ
アピリッツは改修後の無料の再診断の対応が可能です。
-
01
ヒアリング
- 対象システムに関してのヒアリングを実施
- 対象システムの対象リストの精査、決定
-
02
診断方法提案
- 診断方法の確認（手動診断・手動診断とツール診断のハイブリッド診断）
- 診断日程調整
-
03
診断実施
- 速報連絡（重大な脆弱性を発見した場合に速報を提出）
-
04
報告書納品
- 発見された問題点一覧を提出
- 問題点の改善について、緊急度や必要性を評価
- 問題点が及ぼす影響の評価
- すべての問題点について、再現方法提示・具体的な対策方法を提示
-
05
報告会
オプション- 発見された結果を元に報告会を実施
- 技術的視点からの改善策をご提示
-
06
QAサポート/再診断
1回無料- 診断後、1か月以内に1回無料で再診断を実施（1ヶ月以上での再診断も調整は可能）
- QAサポートは、メールやSlack等にて対応
FAQ よくあるご質問
診断の対象・範囲
- Q推奨する診断環境は？
- 推奨環境はステージング環境となります。またWebアプリケーション診断は、その名の通りWebアプリケーションに対して実施します。そのためアプリケーション層が同じであれば、どの環境でも同じ結果になりますし、擬似攻撃と言っても書き込み処理や削除などの更新処理も行っていく事になるため、本番環境での実施は推奨はさせて頂いていません。
診断の内容・手法
- Q手動診断・ツール診断との精度の違いは？
-
ツール診断（自動スキャン）
- 既知脆弱性（SQLインジェクション、XSS等）を高速で大量検出
- コストが安く、スピード重視の案件向け
- ロジック的な欠陥は見つからない（例：認可の設計問題）
- 誤検知が多い（見直しコストがかかる）
- 新種の攻撃パターンに未対応
手動診断
- ビジネスロジック由来の脆弱性を発見（例：権限昇格、不正な状態遷移）
- エッジケースの問題を掘り下げられる
- 誤検知が少ない（信頼性が高い）
- 診断者の技量に左右される
- 工期が長く、コストが高い
工期・コスト
- Q診断にはどのくらい期間がかかる？
- サイトの大きさ複雑さにより期間は変動します。
- Q規模によってコストはいくら？
- 弊社は、HTTPリクエスト数での単純見積ではなく、対象システムによる診断コストによってのお見積を行っております。
- Q急いでる案件でも対応できる？
- 複数エンジニアでの対応は可能です。また、対象機能を優先度の高い機能から実施するなどの調整も可能です。
結果・報告
- Qレポートはどんな形式？どのくらい詳しい？
- 診断結果報告書は、PDF形式でお渡しさせて頂きます。その診断結果報告書があれば、いつ実施したのか、どんなツールを利用したのか、どの対象に対して実施したのか、どんな種類の脆弱性がレベル毎にサマリーで判断でき、キャプチャー付きでの詳しい解説が付いています。
- Q見つかった脆弱性の修正アドバイスもしてくれる？
- アドバイスはあくまでも一般的な修正方法に対してになります。システムの環境依存やプログラムに対してのアドバイスは当サービス以外としてご要望を頂ければ提案可能です。
- Q経営層向けのサマリーレポートもある？
- 作成実績はあります。その点は、見積時にご要望があれば作成させて頂くことは可能です。
継続・運用
- Q修正後の再診断もやってくれる？
- はい。再診断依頼書を頂くことで、適当な修正なのかを実施前に確認させて頂き対応させて頂いています。
- Q定期診断（年4回など）のプランはある？
- 決まったプランはありませんが、提案は可能です。
- Q内製化のサポートはしてくれる？
- 内製化サポートメニューのご用意はあります。
実装・運用面
- Q診断に際して社内の対応業務は？
- 基本的にWebアプリケーション診断では、ステージング環境やテスト環境を利用しての診断を行いますが、脆弱性があるために診断作業が進まなくなるケースやテストデータを作成して頂くことがあります。