SERVICE /
AIが全コードを読み、
人が実害を確かめる。
脆弱性診断
VULNERABILITY ASSESSMENT/ MENU 01
SERVICE / MENU 01
- 01INTAKE
ソースコード受領
リポジトリまたはアーカイブでお預かりします。
- 02AI ANALYSIS
AIがコードを解析
全ファイルを読み、脆弱性の候補を該当行つきで抽出します。
- 03VERIFICATION
人が検証
検証環境で再現し、実害のあるものだけを残します。
- 04REPORT
報告
対応すべき脆弱性を優先度つきで報告書にまとめ、報告会でご説明します。
- HUMAN → 正確性候補を人が検証し、実害のあるものだけを報告します。
- AI → カバレッジ画面から届かない認証後・ロジックまで、全コードを読みます。
- AI × HUMAN → 価格読む工程をAIが担うため、人手の診断より抑えた価格で提供します。
他の診断方式との違い
| ブラックボックス | ホワイトボックス | グレーボックスgin・AI × 人 | |
|---|---|---|---|
| INPUT | 公開画面・URLのみ | ソースコード全量 | ソースコード ＋ 公開画面・URL（検証環境） |
| METHOD | 外部から疑似攻撃 | コードレビュー | AIで解析し、検証環境で確認 |
| COST | 画面数に応じて増加 | 人手の読解工数に比例 | 読解をAIが担い、人手を抑制 |
RESULTAIが候補を出し、人が確かめます。報告するのは、検証済みの脆弱性のみです。
/ MENU 02
SERVICE / MENU 02
診断内容SCOPE
- CIS Benchmarks に基づく設定の確認
- IAM・権限設計の確認
- ストレージの公開設定、ネットワーク制御の確認
- ログ・証跡の取得状況の確認
- 鍵・シークレット管理の確認
- 外部スキャンによる公開範囲と既知の脆弱性の確認
- 診断経験に基づく、設定間の整合性の確認
診断手法METHOD
ツールによる設定監査・スキャン ＋ 手動確認
- 01
権限の付与
読み取り専用の監査用権限をご用意いただきます。設定の手順は弊社からご案内します。
- 02
設定取得・スキャン
対象アカウント・プロジェクトの設定情報を取得し、公開範囲をスキャンします。
- 03
照合と精査
業界標準のベンチマークと照合し、逸脱箇所を抽出します。あわせて、診断経験に基づく観点から設定間の整合性を確認します。
- 04
報告
対応すべき設定不備と脆弱性を優先度つきで報告書にまとめ、報告会でご説明します。
RESULT設定の取得は閲覧権限で行い、設定やリソースを変更することはありません。外部スキャンは、対象と実施日時を事前に合意したうえで行います。対応の優先順位がついた報告書をお渡しし、報告会でご説明します。
/ サービス仕様
SERVICE / サービス仕様
SPECIFICATION
MENU 01
Webアプリケーション脆弱性診断
- 診断対象
- Webアプリケーション本体およびAPI
- 診断区分
- Webアプリケーション脆弱性診断
- 診断方式
- AIによるソースコード解析と、診断員による検証環境での動作検証を組み合わせたグレーボックス診断
- 準拠基準
- 本サービスは、OWASP が定める ASVS（Application Security Verification Standard）5.0.0 レベル1以上に従って実施します。補完的に、OWASP Web Security Testing Guide および IPA「ウェブ健康診断仕様」を用います。
- 診断結果の取扱い
- ツールおよびAIの出力についての分析を含んだ診断を実施し、診断結果報告書としてとりまとめたうえで、診断結果に関する報告会を開催します。
- 成果物
- 診断結果報告書、報告会（オンライン1回）
- 費用
- 1件あたり 80万円〜（税別）
MENU 02
クラウドプラットフォーム脆弱性診断
- 診断対象
- AWS / Azure / Google Cloud の設定
- 診断区分
- プラットフォーム脆弱性診断
- 診断方式
- 診断ツールによる設定監査（CIS Benchmarks との照合）および外部からの脆弱性スキャンと、診断員による手動確認を組み合わせた診断
- 準拠基準
- 本サービスは、CIS Benchmarks およびクラウド事業者が公開するセキュリティのベストプラクティスを参照して構成した診断項目に、弊社の診断経験に基づく項目を加えたうえで実施します。外部スキャンは NIST SP800-115 を参照して実施します。
- 診断結果の取扱い
- ツールの出力についての分析を含んだ診断を実施し、診断結果報告書としてとりまとめたうえで、診断結果に関する報告会を開催します。
- 成果物
- 診断結果報告書、報告会（オンライン1回）
- 費用
- 1件あたり 80万円〜（税別）
/ よくあるご質問
SERVICE / よくあるご質問
FAQ
- Webアプリケーション脆弱性診断では、何を用意すればよいですか？
- 3点です。ソースコード（リポジトリへの閲覧権限、またはアーカイブファイル）、検証環境（ステージング環境とテスト用アカウント）、技術窓口（仕様の確認と報告内容の受け取りをしていただく開発側のご担当者）。検証環境をご用意いただけない場合は、弊社側で構築する方法もご相談いただけます。
- クラウドプラットフォーム脆弱性診断では、何を用意すればよいですか？
- 対象アカウント／プロジェクトへの読み取り専用の監査用権限、対象環境の範囲（利用中のリージョン、外部スキャンの対象となる公開IP・FQDNと実施時間帯を含みます）とシステム構成の概要、設定意図の確認と報告内容の受け取りをしていただくご担当者の3点です。
- 本番環境に影響はありますか？
- Webアプリケーション脆弱性診断では、本番環境に対する操作は行いません。検証はお客様にご用意いただく検証環境で実施します。検証の過程で、検証環境のデータが追加・変更される場合があります。本番環境と構成が異なる場合、結果に差異が生じることがあります。
クラウドプラットフォーム脆弱性診断では、設定の取得は閲覧権限で行い、設定やリソースを変更することはありません。外部スキャンは対象に負荷がかかる場合があるため、対象と実施日時を事前に合意したうえで実施します。ご希望により、外部スキャンを行わない形でも実施できます。 - 診断を受ければ、脆弱性がないことが保証されますか？
- 診断は、実施時点で公知の脆弱性および検出可能な実装上の問題を対象としています。診断後に発見される脆弱性は対象外であり、システムに脆弱性が存在しないことを保証するものではありません。
/ 今後の進め方
SERVICE / 今後の進め方
NEXT ACTION
- STEP 01
ヒアリング
対象システムと検証環境を確認。1時間程度。
- STEP 02
お見積り・NDA
範囲に応じたお見積りと、秘密保持契約の締結。
- STEP 03
コード受領・診断開始
ソースコードをお預かりし、診断に着手。
- STEP 04
報告
報告書の納品と、報告会でのご説明。
まずは、診断対象のシステムをお聞かせください。1システムからお試しいただけます。
お問い合わせ窓口
株式会社gin ナショナルセキュリティ事業部
E-mail：contact@g-in.co.jp
お問い合わせフォーム：
https://www.g-in.co.jp/contact/