サービス概要
あらゆる言語で開発されたWebアプリケーションを診断し、脆弱性を検出・報告します。エンジニアによる手動検査で、自動化されたツール診断だけでは検出することが困難な脆弱性も洗い出します。
-
インプット
ドメイン・URL
認証情報 -
診断
国際標準に基づいた診断
(ASVS) -
アウトプット
Webアプリケーションの
脆弱性と改善提案
主な診断項目
-
ASVS・OWASP TOP10 など
SQLインジェクション、XSS(クロスサイトスクリプティング)、CSRF(クロスサイトリクエストフォージェリ)といった三大脆弱性を含む緊急度の高い脆弱性はもちろん、国際基準で定められた全Webアプリケーションで確認すべき診断項目が網羅されています。
-
アクセス制御の有効性
アクセス制御に不適切な設定が施されている場合、機密情報の漏洩や、不正アクセス、情報の改ざんといった脅威があります。権限の必要なリソースへのアクセスや情報の更新に対する制御に、アクセス権限を回避できる脆弱性がないか、動的解析によって診断します。
-
セッション管理・認証要件
セッショントークンの更新の有無や有効期限の適切な設定などセッション管理に関する要件の確認に加え、パスワード文字列の設定要件やブルートフォース攻撃への耐性といったクレデンシャル情報を侵害する危険性のある脆弱性を診断します。
\無料ダウンロード資料公開中/
OWASP TOP10 2021の重要ポイントを2017と比較解説!

【目次】
はじめに
2021年9月24日リリース『OWASP TOP10 2021』
OWASP TOP10とは
3つの観点からみるTOP10の変更点
カテゴリの変化/順位の変動/記載方法の変更
各項目の変更点を詳しく解説
2021_1位 アクセス制御の不備
2021_2位 暗号化の失敗
SHIFT SECURITYの特徴
-
01
高品質・低価格・短納期な
脆弱性診断を提供従来の脆弱性診断では、特殊なスキルを持ったホワイトハッカーによる属人性の高い診断が多く、担当者が変わると「結果に差異がある」「網羅性が見えない」など、診断品質がバラつく問題がありました。当社のWebアプリケーション診断は、標準化で属人性を排除し、安定して高品質を実現します。さらに、仕組化された診断プロセスで、低コストと短納期を実現します。
-
02
ツールに頼らない手動診断で
発見困難な脆弱性を検出診断エンジニアによる手動診断で、「アクセス制御の回避」、「権限外のリソースへのアクセス・情報の更新」、「機密情報の暴露・入手」といったツール診断では発見が困難な脆弱性を検出します。また、各種インジェクション系に代表される緊急度の高い脆弱性を検出した場合は、実際に情報の入手や不正な操作が可能であるかどうかを試行し、その結果を報告します。
-
03
CVSS(※)に基づいて
リスク評価を客観的に可視化診断で発見された脆弱性は、脆弱性リスク評価の共通言語ともいえる「共通脆弱性評価システムCVSS」に基づいた評価基準と照らし合わせて、客観的で定量的なリスク評価を行った上でお客様に報告します。脆弱性のリスク評価を第三者機関として客観的に可視化することで、妥当性の高い脆弱性対応の優先順位付けや、組織内における脆弱性対応の基準策定を支援します。
※CVSS:共通脆弱性評価システム CVSS (Common Vulnerability Scoring System) は、情報システムの脆弱性に対するオープンで包括的、汎用的な評価手法の確立と普及を目指し、米国家インフラストラクチャ諮問委員会 (NIAC: National Infrastructure Advisory Council) のプロジェクトで 2004年10月に原案が作成されました。
-
総評
評点・要素別評価・コメント付
-
検査項目一覧
観点・検査数・深刻度別脆弱性数を提示
-
脆弱性詳細
対象画面・想定脅威・対策・再現方法
料金プラン
アプリケーション
診断
-
-
Web
アプリケーション
診断 ¥ 200,000 〜
-
-
-
ブロンズ
とにかくコストを抑えて
診断をしたい -
攻撃頻度の高い脆弱性
22項目- キャンペーンサイト
- 運営期間が一時的なWebサイト
-
ブロンズ
-
-
シルバー
緊急度の高い脆弱性を
洗い出したい -
OWASP TOP10
91項目- コーポレイトサイト
- 個人情報を保持しないWebサイト
-
シルバー
-
人気プラン
-
ゴールド
網羅性高く脆弱性を
洗い出したい -
ASVS
123項目- ECサイト
- 個人情報を保持するWebサイト
-
ゴールド
-
-
プラチナ
高度な攻撃を想定して
診断をしたい -
お客様個別の検査観点
による診断- 金融サービス
- 高度な攻撃が想定されるWebサイト
-
プラチナ
OWASP Top 10:最も重大なウェブアプリケーションリスクトップ10
ASVS(Application Security Verification Standard):アプリケーションセキュリティ検証標準
診断スケジュール例
お客様のスケジュールに合わせた
診断に対応
高品質でスピーディー、診断翌日にレポート納品
