ペネトレーションテスト・脆弱性診断
ウェブ・モバイルアプリ・API・システムの脆弱性を診断し、専門家による検証をもとに再現手順・証拠と改善策を提示します。
認証・権限と業務フローまで検証するシナリオに基づく診断
Web・モバイルアプリ・API・システムを対象に、認証・権限、業務フロー、複数の脆弱性の組み合わせによるリスクを点検します。
対象環境に合う自動点検と専門家による手動検証を併用します。発見した問題は、再現根拠、影響、改善の優先順位、対処方針とともに整理します。
主なサービス範囲
ウェブ、モバイル、インフラ、ソースコードなど、対象の特性に応じた分析と検証を行います。
ウェブアプリケーションのペネトレーションテスト
OWASP Top 10 と重要な業務ロジックの脆弱性に対する詳細な手動テスト
- SQL インジェクション、クロスサイトスクリプティング（XSS）、SSRF、ファイルアップロードの脆弱性検証
- 認証・セッションの乗っ取り、IDOR、権限昇格シナリオの実証
- RESTful・GraphQL などのバックエンド API におけるパラメーター改ざんの分析
モバイルアプリのセキュリティ診断（iOS / Android）
アプリの改ざん耐性、完全性検証、ローカルデータの分析
- ルート化・脱獄検知やデバッグ防止機構の回避テスト
- 逆コンパイルしたコード、難読化水準、暗号鍵の露出の確認
- ローカル SQLite・サンドボックス内の個人情報やトークンの平文保存の確認
ネットワークと外部公開インフラのペネトレーションテスト
公開サーバーとファイアウォール設定の不備を通じた侵入経路の検証
- 合意した対象の外部公開ポートの点検と既知の CVE 脆弱性の検証
- VPN・VDI・リモート勤務の接続ゲートウェイにおける不正アクセス可能性の分析
- 初期侵入拠点から内部ネットワークへの横展開（Lateral Movement）のシミュレーション
ソースコードの脆弱性診断（セキュアコーディング）
開発段階のセキュリティ上の弱点を特定・改善するためのソースコードの静的・動的解析
- 韓国行政安全部のソフトウェア開発セキュリティガイドと関連要件への適合確認
- 合意したソースコードの範囲で、入力検証・セキュリティ設定・エラー処理の弱点を特定
- 開発者が活用できる安全な修正例（Secure Patch）の提示
AI サービスのセキュリティ診断
対象環境に応じて、LLM・RAG などの AI サービスにおけるプロンプトインジェクション、機密情報の漏えい、アクセス権限、外部ツール連携のリスクを確認します。
- プロンプトインジェクションや指示の回避による情報漏えいの可能性を確認
- RAG で検索される文書のアクセス権限と、ユーザー・組織間のデータ分離を検証
- AI エージェントによる外部ツール・API 呼び出しの権限と、出力処理のリスクを確認
具体的な診断項目と実施範囲は、サービス構成とお客様のご要望に応じて協議します。
ペネトレーションテストの実施手順
承認された範囲内でシステムの安定性を優先し、攻撃シナリオの実証から改善提案まで体系的に進めます。
01
事前承認と情報収集
対象サービスの範囲と試験可能時間を合意し、承認済み IP から外部情報を収集して構成を把握します。
02
シナリオに基づくペネトレーションテスト
対象の特性に応じた自動検査と専門家による手動検証を組み合わせ、認証・権限、業務フロー、脆弱性の連鎖による攻撃の可能性を確認します。
03
結果報告と是正措置のガイド
証拠画面と再現手順を含む詳細報告書を提供し、セキュリティパッチや是正措置の具体的な方法を案内します。
よくある質問
どのような対象を診断しますか？
Web・モバイルアプリ、API、インフラなどを対象に診断します。ソースコード解析を含む具体的な確認項目は、対象システムと診断目的に合わせて定めます。
診断前に何を協議しますか？
対象システム、許可範囲、実施時間帯、アクセス方法などを事前に合意します。運用への影響を考慮し、アカウントの権限条件やテストシナリオを定めます。
診断結果には何が含まれますか？
診断範囲と確認結果を報告書にまとめます。発見した脆弱性については、主な根拠と改善の方向を説明します。
診断で AI 分析をどのように活用しますか？
必要な場合に、お客様と活用範囲・資料の取り扱い条件を事前に合意したうえで、分析補助に AI を活用します。診断結果は専門家が確認・検証します。
支援範囲と成果物は、対象環境と合意内容に応じて定めます。
攻撃者の視点で安全性を事前に検証
サービス公開前に脆弱性を特定し、具体的な是正方法で安全なリリースを支援します。