セキュリティ診断

ネットワーク診断

インターネットや社内のネットワークにつながっているサーバーや機器に、攻撃に使われる弱点（脆弱性）がないかを調べます。ツールによる自動診断と、エンジニアによる手動診断を組み合わせ、見つかった弱点の危険度と直し方をわかりやすくご報告します。

期間の目安
10営業日〜診断の作業の日数です。対象の台数によって変わります
費用の目安
お見積もり
基準
経済産業省「情報セキュリティサービス基準」準拠

こんなときに

こんなときにおすすめです

  • 新しくサーバーを立てたり、インターネットに公開したりする前
  • サーバーやネットワーク機器を入れ替えた、設定を大きく変えた
  • クラウドへの移行や、拠点の追加をした
  • 使っているソフトや機器に、危険な脆弱性が公表された
  • クレジットカード情報を扱っていて、PCI DSSへの準拠を目指している
  • 取引先や監査から、診断の結果を求められた

特徴

SecureHattersのネットワーク診断

  • CTFで入賞経験のあるエンジニアが調べます

    業界標準のツールによる自動診断に加えて、国内外のCTFで入賞経験のあるエンジニアを中心にチームを組み、手動で調べます。複雑なネットワークや、新しく見つかった脆弱性の検証にも対応します。対象に合わせて、必要なツールを作ることもあります。

  • 公表されたばかりの脆弱性や、PCI DSSにも対応

    特定の脆弱性だけを短期間で調べる「スポット診断」で、攻撃の方法が先に出回ってしまった脆弱性（ゼロデイ脆弱性）への対応状況を確かめられます。クレジットカード業界の基準であるPCI DSSへの準拠に向けた、専用の診断プランもご用意しています。

  • 基準にそった、公正な評価

    経済産業省の「情報セキュリティサービス基準」に適合したサービスとして、IPA の「情報セキュリティサービス基準適合サービスリスト」に登録されています。OWASP Top 10 などの考え方を取り入れて、診断の基準を見直し続けています。

診断項目

主な診断項目

実際の攻撃と同じ手法で、外から見える弱点を調べます。代表的な項目の一部をご紹介します。

外からどう見えているかの確認4項目
ポートスキャンどの入り口（ポート）が開いていて、何が動いているか
サービスの検出動いているソフトの名前やバージョンが、外から見えていないか
ソフトの種類の推測使っているミドルウェアとバージョンを、外から推測できないか
システムの種類の推測使っているOSなどの種類とバージョンを、外から推測できないか
通信のしくみ（プロトコル）の弱点9項目
全般公開範囲が広すぎないか、暗号化しない通信やシステム情報の表示がないか、ほかの会社への攻撃に悪用されないか
FTP不適切な権限を持つユーザーがいないか
SSH安全でない暗号の方式やバージョンを使っていないか
SMTPメールサーバーを第三者に勝手に使われたり、ユーザー名を調べられたりしないか
DNS誰でも使えたり、偽の情報を混ぜられたり、設定情報を丸ごと取られたりしないか
HTTP使う必要のない通信の方式が有効になっていないか
SSL/TLS古いバージョンや弱い暗号、問題のある証明書を使っていないか
SMBファイル共有で、古いバージョンや弱いログイン方式を使っていないか
SNMP機器の管理用の通信で、初期設定のままの合言葉を使っていないか
ソフト・機器の既知の脆弱性3項目
ミドルウェアの脆弱性使っているミドルウェアに、すでに知られている脆弱性がないか
システムの脆弱性OSなどに、すでに知られている脆弱性がないか
機器の脆弱性ルーターなどの機器に、すでに知られている脆弱性がないか
設定の不備と不要なソフト6項目
ファイルの公開機密情報やテスト用・デバッグ用のファイルが、外から見えていないか
システム情報の表示内部のサーバーやネットワークの情報が、外にもれていないか
推奨されない設定今の知見で、おすすめできない設定になっていないか
マルウェアマルウェアによる通信が起きていないか
rootkit攻撃者が隠れて操作するためのしかけ（rootkit）がないか
不適切なソフトファイル共有ソフトなど、業務に不適切なソフトが動いていないか
パスワードの強さ4項目
初期設定のパスワード初期設定のパスワードのまま使っているアカウントがないか
ID と同じパスワードアカウント名と同じパスワードを使っているアカウントがないか
推測できるパスワード会社やシステムの情報から推測できるパスワードがないか
パスワードの解読出回っているパスワードの一覧や総当たりで、パスワードを割り出せないか

※ すべての項目はサービス資料に載せています。

料金

期間・費用の目安

費用は、対象の台数や診断の方法によって変わります。正式なお見積もりは、内容を伺ってからお出しします。

  • おすすめ

    通常診断

    サーバーや機器にある弱点を、ひととおり詳しく調べます。

    費用の目安
    お見積もり
    期間の目安
    10営業日〜

  • スポット診断

    特定の脆弱性だけを短期間で調べます。公表されたばかりの脆弱性への対応状況を、すぐに確かめたい場合に向いています。

    費用の目安
    ご相談
    期間の目安
    ご相談

  • PCI DSS対応診断

    通常診断に加えて、ネットワークの分離の確認やパスワードの強さの評価など、PCI DSSへの準拠に必要な項目を調べます。確実に準拠するには、コンサルティングとの組み合わせをおすすめします。

    費用の目安
    お見積もり
    期間の目安
    10営業日〜

※ 金額はすべて税別です。期間は診断の作業の日数で、対象の台数によって長くなります。スポット診断は、調べる範囲に合わせてお見積もりします。

費用が変わる条件

  • 診断するサーバーや機器の台数（IPアドレスの数）
  • インターネット側から診断するか、社内のネットワークの中から診断するか
  • 手動診断の範囲
  • 修正後の再診断の有無

お見積もりを依頼する料金の目安をくわしく見る

報告書

報告書でわかること

経営層の方、開発の担当の方、監査や取引先へ説明する方。それぞれが必要な情報を、1冊の報告書にまとめてお渡しします。

経営層・ご担当の方へ

  • 総合評価（A〜Eの5段階）見つかった弱点の危険度から、サービス全体の状態を5段階で評価します。
  • 指摘事項の一覧見つかった弱点を、危険度（Critical〜Informationの5段階）の高い順に一覧にします。
  • 業務への影響情報漏えいや不正な支払いなど、弱点が悪用されたときに業務で何が起きるかをご説明します。

開発の担当の方へ

  • 再現の手順どの画面でどう操作すると攻撃できてしまうのかを、画面やコマンドつきでお示しします。
  • 対象の箇所問題のある画面・URL・パラメータを、1つずつ特定します。
  • 具体的な直し方開発の担当の方が、そのまま修正に取りかかれる内容でご提案します。

監査・取引先への説明に

  • 診断の概要診断の期間・手法・使ったツール・対象の範囲を明記するので、取引先や監査への提出資料として使えます。

危険度の高い弱点は、すぐにお知らせします報告書の完成を待たずに、見つかった時点でご連絡します。

進め方

診断の進め方

  1. 01
    ご相談・ヒアリング対象のサービスと、ご希望の時期を伺います
  2. 02
    お見積もり・ご契約対象の範囲と期間を決めてお見積もりします
  3. 03
    事前準備対象のIPアドレスや日程、通信の許可を調整します
  4. 04
    診断の実施自動診断と手動診断を行います
  5. 05
    報告書の納品・報告会結果と対策をご説明します
  6. 06
    再診断（ご希望の場合）修正できたかを確かめます

ご準備いただくもの

  • 診断する対象のIPアドレスやホスト名の一覧
  • 診断に使う通信を、ファイアウォールなどで許可していただく設定
  • クラウドの場合、事業者への事前の申請（必要な場合のみ）
  • 診断してよい日時と、緊急時の連絡先

よくあるご質問

よくあるご質問

社内のネットワークの中も診断できますか？

できます。リモートでの診断のほか、お客さまの社内に伺って、社内のネットワークの中から調べるオンサイトでの診断にも対応しています。

診断中にサーバーが止まることはありませんか？

負荷のかかる診断は、時間帯や送信する量を調整して行います。万一のときにすぐ止められるよう、診断中は連絡がとれる体制を整えます。

危険な脆弱性が公表されたとき、すぐに調べてもらえますか？

はい。特定の脆弱性だけを調べるスポット診断なら、比較的短い期間で実施できます。対策の立て方もあわせてご提案します。

PCI DSSの準拠まで支援してもらえますか？

はい。PCI DSS対応診断に加えて、コンサルティングで準拠に向けた対策や体制づくりまでご支援します。

よくあるご質問をすべて見る