デジサート・ジャパン合同会社

デジサート・ジャパン合同会社は、デジタルセキュリティーを専門に扱う会社です。ここでは、デジサート・ジャパン合同会社が提供しているWEBアプリケーションの脆弱性診断について調査しました。特徴や費用、診断項目などをまとめています。

引用元：デジサート・ジャパン合同会社公式サイト（https://www.digicert.com/jp）

デジサート・ジャパン合同会社の特徴

ソフトウェアの機能を利用していても気付かない「脆弱性」

攻撃者の立場から見ると、攻撃の足掛かりにしてそのコンピュータを乗っ取ることができる場合があります。人間が作るソフトウェアの不具合を完全に「０」にすることは出来ません。その不具合の中でも、情報セキュリティ上の欠陥を「脆弱性」と呼びます。

開発元の「脆弱性」への対応に間に合わない場合も

脆弱性はWEBサーバーやデータベースサーバーなどのサーバーソフト、ウェブアプリケーションにもあるかもしれません。Windowsであれば、Windows Updateを適用することを考えますが、サーバーには停止が許されないソフトウェアもあり、脆弱性を簡単に修正できないことも十分あり得ます。 また、開発元が脆弱性の存在に気付かず修正プログラムが提供されない場合や、気付いたとしても、攻撃に修正プログラムの適用が間に合わないこともあります。

セキュリティ・脆弱性診断の必要性

脆弱性が存在する状態でサーバーを運用していて攻撃を受けた場合、サーバーの乗っ取りや個人情報の漏えいといった被害を受けるだけでなく、場合によっては踏み台として他のサーバーを攻撃する「加害者」になってしまう可能性があります。 このような被害を防ぐために、定期的に「脆弱性診断」を受けることが有効です。一般に使われているソフトウェアであれば、開発元から修正プログラムが提供されるケースもありますが、自社開発したウェブアプリケーションに脆弱性が存在するかどうか確かめるには、脆弱性診断を受けることが必要です。

スピーディーで包括的な診断を「ツール＋手動」にて実現

WEBアプリケーションを使って、顧客ごとに会員向けページや管理画面などのページを動的に生成する事は一般的なことになっています。しかし、セキュリティを考慮した作りになっていなければ、攻撃者に悪用されウェブサイトからの情報漏えいを引き起こしてしまいます。 デジサート・ジャパン合同会社の「ウェブアプリケーション脆弱性診断」では、ツールを利用してスピーディーに診断を行った上で、ツールでは十分に診断できない項目（画面の遷移状況によって発生する脆弱性など）をセキュリティ専門技術者が手動で診断します。

デジサート・ジャパン合同会社の技術力・品質

デジサート・ジャパン合同会社での技術力・品質は公式サイトで確認できませんでした。

デジサート・ジャパン合同会社の診断実績

デジサート・ジャパン合同会社でのWEBアプリケーション診断の事例は公式サイトで確認できませんでした。

デジサート・ジャパン合同会社の費用

デジサート・ジャパン合同会社の診断項目

ウェブアプリケーション脆弱性診断

• 認証
  ・不適切な認証
  ・パスワード復元の検証の強度
• 承認
  ・セッションの推測
  ・不適切な承認
  セッションの固定
• クライアント側での攻撃
  ・クロスサイトスクリプティング
  ・偽コンテンツ
  ・CSRF (Cross Site Request Forgeries)
• コマンドの実行
  ・バッファオーバーフロー
  ・書式文字列攻撃
  ・LDAP インジェクション
  ・OS コマンドインジェクション
  ・SQL インジェクション
  ・SSI インジェクション
  ・XPath インジェクション
• 情報公開
  ・ディレクトリインデクシング
  ・ソース記載による情報漏えい
  ・パストラバーサル
  ・リソース位置の推測
• ロジックを狙った攻撃(Logical Attach)
  ・機能の悪用
  ・リダイレクタ
  ・不適切なプロセスの検証

クイックウェブ診断

• 認証
  ・信用情報通信時の機能の不備
  ・デフォルトアカウント使用
  ・ロックアウト機能の不備
  ・認証回避
  ・復元可能なパスワードの保存
  ・ログアウト機能の不備や未実装
  ・脆弱なパスワードポリシー
  ・パスワード再発行の不備
  ・パスワードリセットの不備
  ・管理機能の不備
• TCP
  ・TCPポートスキャン
  ・TCPサービススキャン
  ・パケットフィルタリング調査
• UDP
  ・UDPポートスキャン
  ・UDPサービススキャン
• サービス
  ・バナー情報収集調査
• FTP
  ・FTP匿名接続調査
  ・FTPパスワード簡易推測調査
• SSH
  ・SSHプロトコルバージョン調査
  ・SSH認証調査
  ・SSHパスワード簡易推測調査
• Telnet
  ・Telnetパスワード簡易推測調査
• SMTP
  ・SMTP不正中継調査
  ・SMTPアカウント簡易推測調査
• POP
  ・POPパスワード簡易推測調査
• DNS
  ・DNS再帰問い合わせ調査
  ・DNSゾーン転送調査
• Finger
  ・Fingerアカウント情報収集調査
• HTTP/HTTPS
  ・HTTPメソッド調査
  ・HTTPコンテンツ調査
  ・HTTPアプリケーションマッピング調査
  ・WebDAV/FrontPage調査
  ・SSLプロトコルバージョン調査
  ・SSL暗号強度調査
  ・SSL証明書調査
  ・Proxy不正中継調査
• Auth
  ・Authアカウント情報収集調査
• SNMP
  ・SNMPコミュニティ簡易推測調査
• SMB/CIFS
  ・SMB/CIFSアカウント情報収集調査
  ・SMB/CIFSパスワード簡易推測調査
• RPC
  ・ONC/RPC情報収集
• IPsec
  ・IKE情報収集調査
• R
  ・R認証調査
• Console
  ・リモート管理コンソール調査
• 脆弱性情報収集
  ・脆弱性情報収集
• 脆弱性調査
  ・診断ログ精査

デジサート・ジャパン合同会社の報告書イメージ

引用元：デジサート・ジャパン合同会社公式サイト（https://www.digicert.com/content/dam/digicert/jp/pdfs/sample/webapp-or-report-sample.pdf）

デジサート・ジャパン合同会社のその他のサービス一覧

デジサート・ジャパン合同会社の会社情報

まとめ

デジサート・ジャパン合同会社のウェブサイトの脆弱性診断には、ウェブアプリケーション脆弱性診断とクイックウェブ診断があります。クイックウェブ診断は、IPAの診断基準やOWASPTestingGuideを参考に診断を実施し、問題の有無が判断できる簡易レポートが納品物されます。

本サイトでは、OWASPの基準を満たした診断項目を設けていたり、IPAの認定を受けていたりなど、特に信頼のおける【WEBアプリケーションの脆弱性診断会社】を2社、状況・課題別に紹介しています。

このページをご覧になったうえで気になった方は、ぜひ下記2選をご確認いただき、各社へ問い合わせてみてはいかがでしょうか。