Webアプリケーション診断

• 概要
• 特長
• サービス内容
• セキュリティ診断の流れ
• 診断結果報告書イメージ
• 価格
• よくあるご質問

Webアプリケーション診断の概要

Webアプリケーション診断は、攻撃者の視点から様々な疑似攻撃を考察・試行することで、Webアプリケーションの安全性を徹底的に調査します。お客様は、Webアプリケーション診断の結果に基づいて対策を施すことにより、SQLインジェクション、クロスサイトスクリプティング、セッションハイジャックなどの攻撃による被害の発生を未然に防ぐことができます。一般的に、Webアプリケーション診断の手法として、(1)診断ツール、(2)専門家の手動、(3)両者の併用、の3つがあります。いずれの手法も、診断対象となるWebアプリケーションに対し、「シグネチャ」と呼ばれる特別な文字列を送ったり、処理を実行し、その応答結果や動作から脆弱性の有無を判断します。診断ツールは効率の面で優れている半面、脆弱性の見逃しや誤検出が発生する場合があるため、ラックでは、(2)の診断を中心としつつ、お客様のご要望に応じて、独自に開発した診断ツールと手動を組み合わせた(3)の診断も実施しています。

約85％のサイト（※）に問題点が存在
webアプリケーションのセキュリティが求められる理由

そのため弊社では、市販のツールを用いた診断や、自社内での診断を実施されている場合でも、経験豊富な専門家の視点で診断を実施することをおすすめしています。

Webアプリケーション診断の特長

お客様のWebアプリケーションに存在するセキュリティリスクを徹底調査

ラックの熟練したセキュリティ専門家が、サイト攻撃者の立場で様々な観点から攻撃手法を考察・試行します。お客様のWebアプリケーションの仕様や特性等も加味しながら、多様な手法で診断を実施することで、次のようなセキュリティリスクを発見することができます。

• 他人になりすまして不正にシステムにログインすることが可能か
• 個人情報や機密情報などの重要データを取得可能か
• 管理者権限を取得することが可能か
• データベースに不正にアクセスすることが可能か
• アクセス制御されているリソースに不正にアクセスすることが可能か

最新の攻撃手法を診断パターンに反映

24時間365日リアルタイムでセキュリティ監視を行う「JSOC」、最新の脅威や動向を研究する機関である「サイバー・グリッド研究所」、セキュリティ事故の緊急対応を行う「サイバー救急センター」から得た最新の攻撃手法や脆弱性情報を反映し、診断を実施します。

実績

ラックは1995年にセキュリティ事業を開始し、セキュリティ診断サービスについては約8,300団体^※の豊富な導入実績があります。蓄積された過去の膨大な診断結果は統計データ化しており、お客様の診断結果を評価・分析する際に活用しています。

※ 2018年4月時点

診断の効率化を追求

お客様のWebアプリケーションは、ひとつとして同じものはありません。セキュリティ診断の品質を高めるためには、そうしたお客様固有の仕様や特性等も加味しながら柔軟に対応する必要があり、その結果多くの時間を要することもあります。弊社では長年の診断経験を生かして独自の診断ツールを開発するなど、診断 業務の効率化にも注力して参りました。診断の品質を下げることなく、結果をいち早くお客様にお届けできるように日々改善しています。

各種セキュリティ指標に対応

クレジットカード業界のセキュリティ標準であるPCI-DSSで参照されている「OWASP Top 10」や、情報処理推進機構の「セキュリティ実装チェックリスト」に含まれる脆弱性を診断対象とするなど、各種セキュリティ指標にも対応しています。

※ OWASPは、Webアプリケーションのセキュリティ向上を目的とした米国の団体で、調査や開発の成果物を誰でも利用できるように公開しています。「OWASP Top Ten Project」では、Webアプリケーションの脆弱性トップ10を掲載しています。

サービス内容

主な診断項目は以下の通りです。経験豊富な専門家が、お客様のWebアプリケーションに合わせて診断を実施いたします。

セキュリティ診断の流れ

診断結果報告書イメージ

診断報告書には、診断結果の総評、評価ランク（5段階）をはじめ、診断結果の詳細・発見された脆弱性およびその確認方法・セキュリティリスクレベル（緊急度）・推奨する対策などを記載し、お客様が改善実施すべき事項を明確にご提示いたします。 また、業種別の統計情報も掲載しますので、同業他社に比べて自社がどの程度のレベルなのかということなども知ることができます。

価格

参考価格：1サイト（20画面遷移） 1,000,000円～

* 上記は平日日中、インターネット経由で診断を行った場合の金額です。
* お客様のシステム構成によりお見積もり金額は、異なる場合がございます。

お見積もりについて

「概算のお見積もり」をご希望のお客様は、「画面遷移数の計算方法」をご利用いただけます。診断対象（システム毎の画面遷移数）の情報を当社までお知らせいただきましたら、お早めに概算お見積書をご提出いたします。

概算お見積り用計算方法

ラックのWebアプリケーション診断は、「サイト数」と「画面遷移数」をもとに、金額と作業スケジュールをお見積もりいたします。

【サイトの数え方】

デバイスによるサイト数

デバイスに関係なく、アクセスするWebアプリケーションが1つの場合は、1サイトと数えます。

デバイス毎にアクセスするWebアプリケーションが異なる場合は、それぞれを1サイトと数えます。

【画面遷移数】

リンクやボタンを押下して、対象となる画面遷移数（リクエスト数）^※を数えます。

例）ログイン画面の場合

例）同一画面内に複数のページを表示する場合

例）検索画面等で同一画面内に処理が行われる場合

※ 画面遷移はブラウザからサーバに送られるリクエストによって行われます。1リクエストあたりのパラメータ数の上限は20パラメータです。 20パラメータを超える場合は、20パラメータ毎に1画面遷移と数えます。50パラメータの場合は3遷移と数えます。