SERVICE /
AIが全コードを読み、
人が実害を確かめる。
脆弱性診断
VULNERABILITY ASSESSMENT/ MENU 01
SERVICE / MENU 01
- 01INTAKE
ソースコード受領
リポジトリまたはアーカイブでお預かりします。
- 02AI ANALYSIS
AIがコードを解析
全ファイルを読み、脆弱性の候補を該当行つきで抽出します。
- 03VERIFICATION
人が検証
検証環境で再現し、実害のあるものだけを残します。
- 04REPORT
報告
対応すべき脆弱性を、優先度つきでご報告します。
- HUMAN → 正確性候補を人が検証し、実害のあるものだけを報告します。
- AI → カバレッジ画面から届かない認証後・ロジックまで、全コードを読みます。
- AI × HUMAN → 価格読む工程をAIが担うため、人手の診断より抑えた価格で提供します。
他の診断方式との違い
| ブラックボックス | ホワイトボックス | グレーボックスgin・AI × 人 | |
|---|---|---|---|
| INPUT | 公開画面・URLのみ | ソースコード全量 | ソースコード ＋ 公開画面・URL（検証環境） |
| METHOD | 外部から疑似攻撃 | コードレビュー | AIで解析し、実環境で検証 |
| COST | 画面数に応じて増加 | 人手の読解工数に比例 | 読解をAIが担い、人手を抑制 |
RESULTAIが候補を出し、人が確かめます。報告するのは、検証済みの脆弱性のみです。
/ MENU 02
SERVICE / MENU 02
診断内容SCOPE
- CIS Benchmarks に基づく設定の確認
- IAM・権限設計の確認
- ストレージの公開設定、ネットワーク制御の確認
- ログ・証跡の取得状況の確認
- 診断経験に基づく、設定間の整合性の確認
診断手法METHOD
ツール診断 ＋ マニュアル診断
- 01
権限の付与
監査用の閲覧権限（IAMロール等）をご用意いただきます。
- 02
設定の読み取り
対象アカウント・プロジェクトの設定情報を取得します。
- 03
照合と精査
業界標準のベンチマークと照合し、逸脱箇所を抽出します。あわせて、診断経験に基づく観点から設定間の整合性を確認します。
- 04
報告
対応すべき設定不備を、優先度つきでご報告します。
RESULT設定の読み取りだけで完了し、稼働中の環境には触れません。対応の優先順位がついた報告書をお渡しします。
/ サービス仕様
SERVICE / サービス仕様
SPECIFICATION
MENU 01
Webアプリケーション脆弱性診断
- 診断対象
- Webアプリケーション本体およびAPI
- 診断区分
- Webアプリケーション脆弱性診断
- 診断方式
- AIによるソースコード解析と、診断員による実環境での検証を組み合わせたグレーボックス診断
- 準拠基準
- 本サービスは、OWASP が定める ASVS（Application Security Verification Standard）レベル1以上に相当する診断項目に従って実施します。
- 診断結果の取扱い
- ツールおよびAIの出力についての分析を含んだ診断を実施し、診断結果報告書としてとりまとめます。
- 成果物
- 診断結果報告書
- 費用
- 1件あたり 80万円〜（税別）
MENU 02
クラウドプラットフォーム脆弱性診断
- 診断対象
- AWS / Azure / Google Cloud の設定
- 診断区分
- プラットフォーム脆弱性診断
- 診断方式
- 自社ツールによる設定情報の読み取りおよびベンチマーク照合と、診断員による結果の確認を組み合わせた診断
- 準拠基準
- 本サービスは、CIS Benchmarks を参照して構成した診断項目に、弊社の診断経験に基づく項目を加えたうえで実施します。
- 診断結果の取扱い
- ツールの出力についての分析を含んだ診断を実施し、診断結果報告書としてとりまとめます。
- 成果物
- 診断結果報告書
- 費用
- 1件あたり 80万円〜（税別）
/ よくあるご質問
SERVICE / よくあるご質問
FAQ
- Webアプリケーション脆弱性診断では、何を用意すればよいですか？
- 3点です。ソースコード（リポジトリへの閲覧権限、またはアーカイブファイル）、検証環境（ステージング環境とテスト用アカウント）、技術窓口（仕様の確認と報告内容の受け取りをしていただく開発側のご担当者）。検証環境をご用意いただけない場合は、弊社側で構築する方法もご相談いただけます。
- クラウドプラットフォーム脆弱性診断では、何を用意すればよいですか？
- 対象アカウント／プロジェクトへの監査用の閲覧権限（IAMロール等）、対象環境の範囲とシステム構成の概要、設定意図の確認と報告内容の受け取りをしていただくご担当者の3点です。
- 本番環境に影響はありますか？
- 本番環境に対する操作は行いません。検証はお客様にご用意いただく検証環境で実施します。本番環境と構成が異なる場合、結果に差異が生じることがあります。
- 診断を受ければ、脆弱性がないことが保証されますか？
- 診断は、実施時点で公知の脆弱性および検出可能な実装上の問題を対象としています。診断後に発見される脆弱性は対象外であり、システムに脆弱性が存在しないことを保証するものではありません。
/ 今後の進め方
SERVICE / 今後の進め方
NEXT ACTION
- STEP 01
ヒアリング
対象システムと検証環境を確認。1時間程度。
- STEP 02
お見積り・NDA
範囲に応じたお見積りと、秘密保持契約の締結。
- STEP 03
コード受領・診断開始
ソースコードをお預かりし、診断に着手。
- STEP 04
報告
対応すべき脆弱性を、優先度つきでご報告。
まずは、診断対象のシステムをお聞かせください。1システムからお試しいただけます。