セキュリティ診断

Webアプリケーション・
API診断

Webサイトや会員サービス、管理画面、スマホアプリやほかのサービスとつながるAPIに、攻撃に使われる弱点（脆弱性）がないかを調べます。画面のないAPIだけのサービスにも対応します。ツールによる自動診断と、エンジニアによる手動診断を組み合わせ、見つかった弱点の危険度と直し方をわかりやすくご報告します。

期間の目安
10営業日〜診断の作業の日数です。対象の規模によって変わります
費用の目安
12万円〜（税別）基本料金10万円＋1リクエスト（API 1つ）ごとに2万円
基準
経済産業省「情報セキュリティサービス基準」準拠

こんなときに

こんなときにおすすめです

  • 新しいWebサービスやアプリを公開する前
  • 機能の追加や、大きな改修をしたとき
  • スマホアプリやほかのサービスとつながるAPIを公開している
  • 個人情報や決済の情報を扱っている
  • 取引先や監査から、診断の結果を求められた
  • 開発を外部に任せていて、安全かを確かめたい

特徴

SecureHattersのWebアプリケーション・API診断

  • ツールでは見つけにくい弱点まで

    業界標準のツールによる自動診断に加えて、国内外のCTFで入賞経験のあるエンジニアが手動で調べます。サービスの仕様に合わせて、必要なツールを作ることもあります。ご予算に合わせて、自動診断だけのプランも選べます。

  • 新しい作り方や、めずらしい通信のしくみにも対応

    ReactやAngularなどで作られたシングルページアプリケーションも、しくみを解析して深く診断します。APIでは、REST・GraphQL・gRPCのほか、WebSocket・Protobuf・MQTTなどの通信のしくみや、独自のログインのしくみを使っていても対応できます。エンジニアは開発の経験もあるため、開発言語や作り方を問いません。

  • 基準にそった、公正な評価

    経済産業省の「情報セキュリティサービス基準」に適合したサービスとして、IPA の「情報セキュリティサービス基準適合サービスリスト」に登録されています。OWASP Top 10 などの考え方を取り入れて、診断の基準を見直し続けています。

診断項目

主な診断項目

サービスの仕様に合わせて、実際の攻撃と同じ手法で調べます。代表的な項目の一部をご紹介します。

※ 印のない項目は、WebアプリケーションとAPIの両方で調べます。

外から命令を送り込まれる弱点（インジェクション）6項目
SQLインジェクション入力欄などから不正な命令を送り、データベースの情報を盗んだり書き換えたりできないか
クロスサイトスクリプティングWebのみページに不正なスクリプトを埋め込み、利用者のブラウザで実行させられないか
OSコマンドインジェクションサーバーに任意のコマンドを実行させられないか
パストラバーサル本来見られないサーバー内のファイルにアクセスできないか
HTTPヘッダ／メールヘッダインジェクション応答やメールのヘッダに不正な内容を差し込めないか
オープンリダイレクト利用者を外部の偽サイトへ転送させられないか
ログイン・セッションの弱点8項目
認証の回避ログインせずに、ログイン後の画面や機能を使えないか
アカウントロックの不備パスワードを何度も試す攻撃を止められるか
エラーメッセージからの情報漏えいエラー表示からIDの有無などを推測できないか
推測できるセッションIDログイン状態を表すIDを推測して、他人になりすませないか
セッション固定化ログインのときにセッションIDが新しく発行されるか
ログアウトの不備ログアウト後にセッションが確実に無効になるか
安全でないパスワード入力欄Webのみパスワードが画面にそのまま表示されたり、ブラウザに自動で保存されたりしないか
セッションの有効期限ログイン状態が、必要以上に長く続かないか
権限・アクセス制御の弱点6項目
権限昇格一般ユーザーが管理者の機能を使えないか
認可の不備他のユーザーのデータを見たり操作したりできないか
強制ブラウジングURLを直接指定して、公開していない情報にアクセスできないか
クロスサイトリクエストフォージェリ（CSRF）Webのみ利用者が意図しない操作を、外部から実行させられないか
パラメータの改ざん送信する値を書き換えて、金額や状態を不正に変えられないか
不適切なCORSの設定外部のサイトから、必要以上にデータを読み取られないか
設定の不備7項目
ファイルアップロードの検証不備不正なファイルをアップロードして実行させられないか
Cookieの属性（Secure／HttpOnly）ログイン情報を含むCookieが、適切に保護されているか
HSTSの設定Webのみ暗号化されていない通信に切り替えられる余地がないか
クリックジャッキングWebのみページを別のサイトに埋め込まれ、気づかないうちに操作させられないか
システム情報の表示エラー時に、内部の詳しい情報が表示されないか
不要なHTTPメソッド使っていない通信の方式が有効になっていないか
ブラウザの防御機能の設定Webのみクロスサイトスクリプティングを防ぐブラウザの機能を、有効にしているか
情報漏えい・その他7項目
ディレクトリリスティングサーバー上のファイル一覧が表示されないか
URLへのセッションIDの埋め込みWebのみURLからログイン状態が漏れないか
XML外部実体参照（XXE）XMLの処理を悪用して、ファイルの読み取りやサービス停止を起こせないか
安全でないデシリアライズ受け取ったデータの復元処理を悪用されないか
脆弱なミドルウェアの使用既知の脆弱性があるソフトウェアを使っていないか
個人情報・ログイン情報の送受信Webのみ大事な情報が暗号化された通信で送られているか
ログイン履歴利用者が自分のログイン履歴を確認できる機能があるか

※ 診断項目は OWASP Top 10 の分類と対応づけて管理しています。すべての項目はサービス資料に載せています。

料金

期間・費用の目安

費用は、対象の規模や診断の方法によって変わります。正式なお見積もりは、内容を伺ってからお出しします。

  • おすすめ

    手動診断＋自動診断

    エンジニアの手動診断と、ツールによる自動診断を組み合わせます。精度と深さを重視する場合はこちらです。

    費用の目安
    12万円〜
    期間の目安
    10営業日〜

  • 自動診断のみ

    ツールによる自動診断だけを行います。ご予算をおさえたい場合や、定期的な確認に向いています。

    費用の目安
    お見積もり
    期間の目安
    ご相談

※ 金額はすべて税別です。「手動診断＋自動診断」は、基本料金10万円（報告書1通・1言語）＋診断する1リクエスト（API 1つ）ごとに2万円です。修正後の再診断は、簡易報告書2万円＋1リクエストごとに1万円です。期間は診断の作業の日数で、対象の規模（画面やAPIの数など）によって長くなります。

費用が変わる条件

  • 画面や機能の数
  • APIの数（エンドポイントの数）
  • ログインが必要な画面と、権限の種類の数
  • 診断する環境（本番環境／検証環境）
  • 修正後の再診断の有無

お見積もりを依頼する料金の目安をくわしく見る

報告書

報告書でわかること

経営層の方、開発の担当の方、監査や取引先へ説明する方。それぞれが必要な情報を、1冊の報告書にまとめてお渡しします。

経営層・ご担当の方へ

  • 総合評価（A〜Eの5段階）見つかった弱点の危険度から、サービス全体の状態を5段階で評価します。
  • 指摘事項の一覧見つかった弱点を、危険度（Critical〜Informationの5段階）の高い順に一覧にします。
  • 業務への影響情報漏えいや不正な支払いなど、弱点が悪用されたときに業務で何が起きるかをご説明します。

開発の担当の方へ

  • 再現の手順どの画面でどう操作すると攻撃できてしまうのかを、画面やコマンドつきでお示しします。
  • 対象の箇所問題のある画面・URL・パラメータを、1つずつ特定します。
  • 具体的な直し方開発の担当の方が、そのまま修正に取りかかれる内容でご提案します。

監査・取引先への説明に

  • 診断の概要診断の期間・手法・使ったツール・対象の範囲を明記するので、取引先や監査への提出資料として使えます。

危険度の高い弱点は、すぐにお知らせします報告書の完成を待たずに、見つかった時点でご連絡します。

進め方

診断の進め方

  1. 01
    ご相談・ヒアリング対象のサービスと、ご希望の時期を伺います
  2. 02
    お見積もり・ご契約対象の範囲と期間を決めてお見積もりします
  3. 03
    事前準備テスト用アカウントや日程を調整します
  4. 04
    診断の実施自動診断と手動診断を行います
  5. 05
    報告書の納品・報告会結果と対策をご説明します
  6. 06
    再診断（ご希望の場合）修正できたかを確かめます

ご準備いただくもの

  • 診断する対象のURLと、画面や機能の一覧
  • APIの場合は、仕様書（OpenAPIなど）や、APIの一覧
  • テスト用のアカウント（権限の種類ごと）
  • 診断してよい日時と、緊急時の連絡先

よくあるご質問

よくあるご質問

画面がなく、APIだけのサービスでも診断できますか？

できます。画面を通さずに、APIそのものに直接リクエストを送って調べます。仕様書がない場合も、まずはご相談ください。

本番環境でも診断できますか？

できます。データの登録や更新をともなう操作もあるため、事前に影響が出る範囲をご相談します。内容によっては、検証環境での実施をおすすめすることもあります。

スマホアプリと、その裏側のAPIをまとめて頼めますか？

はい。アプリケーション診断（スマホ・パソコン）と組み合わせて、アプリと通信先のAPIをまとめて診断できます。

見つかった弱点の直し方も相談できますか？

はい。報告会でのご説明に加えて、修正の進め方のご相談、修正後の再診断、開発チーム向けの勉強会までご用意しています。

よくあるご質問をすべて見る