脆弱性診断サービス「Site-Audit」(サイトオーディット)は、「スピーディ」かつ「低コスト」で、サーバやアプリケーションの脆弱性を洗い出す事を目的とした脆弱性診断サービスです。
はっきり申し上げて、セキュリティ対策には際限がありません。
対策を求める側としては100%を求めますが、どんなに費用をかけて対策しても限界があります。
費用と対策のレベルは概ね比例しますが、売上を生まないセキュリティ対策にかけられる費用にはどうしても限界があります。基本誰しも余計なコストはかけたくないものです。
何も症状が無いのに大学病院で検査入院するでしょうか?
まずは必要最低限の現状把握を継続的に行うことが、費用的にも対策的にもセキュリティ対策の正解と言えます。
使用しているサーバ、OSなどのプラットフォームの脆弱性を診断します。
また、セキュリティ標準評価基準であるCVSS/CVEに準拠しています。
古いバージョンの脆弱性や誤った設定を悪用し、攻撃者に悪用される恐れがあります。
無効な証明書を使用しているとフィッシングサイトに利用される恐れがあります。
容易に推測される単語を使ったパスワードは、攻撃者の侵入のきっかけとなります。
バージョンや設定から、攻撃者の侵入の足かけとして利用される恐れがあります。
デフォルトで用意されているサンプルスクリプトが公開されている場合、悪用される恐れがあります。
弱い暗号スイートが使われている場合、悪意のあるユーザに解読され通信が悪用される恐れがあります。
データベース管理ツールが不用意に公開されている場合、攻撃者の侵入の足かけとして利用される恐れがあります。
中継に制限をかけていない場合、悪意あるユーザーからのメールを中継してしまい、攻撃の踏み台として利用される恐れがあります。
Webサイトで使用しているアプリケーションに対して、実際に疑似攻撃を行い、アプリケーションに脆弱性が存在しないか診断します。オープンWebアプリケーションセキュリティプロジェクト(OWASP)が提供しているセキュリティに影響を与える一般的なソフトウェアおよびハードウェアの弱点タイプのリスト(CWE)を元に「WEBアプリケーション」に特化したセキュリティ上のリスクを洗い出す脆弱性診断サービスです。サイト内のすべてのページに対して、疑似攻撃を行い、以下の脆弱性を検出します。
データベースに不正なSQLコマンドを挿入され、データの改ざんや漏洩が発生する恐れがあります。
悪意のあるスクリプトが埋め込まれ、ユーザーの情報が盗まれたり、偽の情報が表示される恐れがあります。
ユーザーの意図しない操作が強制的に実行され、情報の改ざんや削除が行われる恐れがあります。
サーバー上の意図しないファイルにアクセスされ、重要な情報が漏洩する恐れがあります。
不正なプログラムコードが実行され、サーバーが乗っ取られたり、情報が漏洩する恐れがあります。
XSLTの処理に不正なコードが挿入され、サーバー上の情報が漏洩したり改ざんされる恐れがあります。
外部の悪意のあるファイルが読み込まれ、サーバーが不正に操作される恐れがあります。
プログラムのメモリ領域を超えるデータが入力され、システムが不正に操作される恐れがあります。
意図しないディレクトリへのアクセスを許可してしまい、重要なファイルが漏洩する恐れがあります。
脆弱性の有無や問題点などのレポートを作成します。当レポートは、脆弱性診断の結果をお知らせするものです。説明などが必要な場合は、オプションの「報告会」が必要になりますのでご了承ください。
申込書を送付 診断対象サイトの決定 希望診断日時の決定
三ヶ月間契約回数内で可能
診断実施
診断結果の解析
レポートの提出
オプション
脆弱性対応サポート
報告会