診断の考え方
対象のアーキテクチャ、公開範囲、扱う情報、想定される攻撃者を整理し、システムごとに診断範囲を設計します。標準的な診断観点を確認したうえで、権限やデータの流れ、外部サービスとの境界、製品固有の処理を攻撃者の視点から検証します。
個別の問題を列挙するだけでなく、複数の弱点を組み合わせた高度な攻撃経路や、現実的なシナリオではどういった条件が必要かを確認します。脆弱性の実証が必要な場合は、事前に合意した範囲内で安全なPoCを作成し、提供いたします。
診断方式
ブラックボックス診断
外部の攻撃者に近い条件から、公開面、認証後の機能、通信や実行時の挙動を確認します。提供可能な情報を限定したい場合や、第三者から見た攻撃可能性を把握したい場合に適しています。
グレーボックス／ホワイトボックス診断
ソースコード、構成情報、テスト用のステージング環境などを利用し、外部からは見えにくい信頼境界や仕様固有の問題まで検証します。限られた期間で重要な箇所を深く検証したい場合にも有効です。
共通の進め方
-
ヒアリング・お見積もり
診断対象、スコープ、想定する脅威、実施希望期間を確認し、お見積もりを作成します。必要に応じてNDA締結後にソースコード等をご共有いただきます。 -
診断準備
ソースコード、ステージング環境、テストアカウントなど、診断に必要な情報やアクセス権をご共有いただきます。 -
実施条件の確認
診断開始前に、禁止操作や緊急時の連絡方法などを確認します。Slack Connectやメールなど、ご希望の連絡手段に対応します。 -
脆弱性診断の実施
最新のAI技術と当社診断員の知見を活用し、自動解析と手動検証を組み合わせて診断します。重大な問題は診断中にも速やかに報告いたします。 -
結果報告・再診断
脆弱性の再現方法、影響、原因、対策、対応優先度をまとめてご報告します。必要に応じて報告会や修正後の再診断も実施します。
成果物
報告書には、経営・管理部門向けの全体像と、開発・運用担当者が修正に使える技術情報を分けて記載します。各問題について、確認条件、再現手順、証跡、想定される影響、原因、推奨対策、優先度を整理します。
対象や構成が固まっていない段階でも、必要な診断範囲の整理からご相談いただけます。