DAIMU / SOLUTIONS / SOL_16

脆弱性診断・セキュリティ対策

Webアプリケーション・API・クラウドの脆弱性を診断し、
修正から再診断まで一貫して対応
01
// ATTACKER'S VIEW

攻撃者の視点で検査する

脆弱性診断は、システムに潜む弱点を攻撃者の視点で検査し、悪用された場合のリスクを明らかにするものです。ツールによる網羅的な検査と、専門家による手動診断を組み合わせて実施します。

  • Webアプリケーション・API診断
  • スマートフォンアプリ診断
  • プラットフォーム診断（サーバー・ネットワーク）
  • ソースコード診断
>> ATTACK SURFACE
02
// TOOLS + MANUAL

ツール診断と手動診断の組み合わせ

ツールは既知のパターンを効率よく網羅できますが、認可制御の不備や業務ロジックの欠陥は見つけにくい傾向があります。手動診断で、システムの仕様を踏まえた検査を行います。

coverage = automated_scan(target)
         + manual_review(business_logic);
  • ツールによる網羅的な検査
  • 認証・認可、権限昇格の手動検査
  • 決済処理など、仕様に依存したロジックの検査
>> TOOLS + EXPERTS
03
// RISK RATING

深刻度と優先順位を明確に

検出した脆弱性は、CVSSを参考に深刻度を評価し、システムの用途や公開範囲を踏まえて、対応の優先順位をご提示します。

  • 再現手順と影響範囲の記載
  • CVSSを参考にした深刻度の評価
  • 対応の優先順位と修正方針
  • 経営層向けサマリと技術詳細
>> PRIORITIZED FINDINGS
04
// FIX, NOT JUST FIND

診断で終わらせない

報告書を受け取っても、修正する体制がなければリスクは残ります。当社はソフトウェア開発会社として、検出した脆弱性の修正まで対応し、再診断で対策の完了を確認します。

  • 修正方針の具体化とコードの修正
  • 修正後の再診断
  • 同種の脆弱性の横展開調査
>> FIND / FIX / VERIFY
05
// SCOPE & AUTHORIZATION

範囲と権限を明確にして実施

診断は、貴社が管理権限を持つシステム、または権限者の許可を得たシステムに対してのみ、書面で合意した範囲と日程で実施します。本番環境への影響を避けるための手順も事前に取り決めます。

  • 対象・期間・手法の書面による合意
  • 本番環境と検証環境の使い分け
  • 緊急時の連絡体制と中断手順
>> AUTHORIZED SCOPE ONLY
// ADDITIONAL SPECS

06 / 診断の基準

国内外で広く用いられている基準やガイドラインに基づいて診断します。

  • OWASP Top 10・OWASP ASVS
  • IPA「安全なウェブサイトの作り方」
  • CVSSによる深刻度の評価

07 / 実施体制

診断は、当社の責任と管理のもとで実施します。

  • 協力会社と連携する場合も、秘密保持契約を締結
  • 当社による品質管理とレビュー
  • 診断で得た情報の厳格な管理

08 / 適したケース

節目ごとの診断で、リスクを確認します。

  • 新サービスのリリース前
  • 大規模な機能追加・改修の後
  • 取引先から第三者診断の結果を求められた場合

09 / DAIMUが提供する価値

開発を熟知したエンジニアが診断します。

  • 設計・実装を理解したうえでの診断
  • 根本原因に踏み込んだ修正方針
  • 開発チームとして修正まで対応

10 / 継続的なセキュリティ対策へ

診断を一度きりで終わらせず、継続的な取組みにつなげます。

  • 定期診断による新たな脆弱性への対応
  • 開発プロセスへのセキュリティの組み込み（DevSecOps）
  • 運用中の監視とインシデント対応

リリース前に、脆弱性を確認しませんか？

脆弱性診断について相談する ->