ポート
確認済み
TLS
確認済み
応答ヘッダ
確認済み
クラウド設定
確認済み
表示例: 8つの画面・APIと6つの立場の組み合わせで、応答が期待どおりかを確かめた記録
- 200 許可
- 302 ログインへ
- 403 拒否
- 404 見えない
WHEN
こんなときに
取引先のセキュリティ審査で、脆弱性診断を求められた
チェックシートの「脆弱性診断を実施していますか」に答えられるよう、診断と提出用の報告書をまとめます。審査の担当者からの質問にも、根拠をつけて回答します。
リリースの前に、外から見て問題がないか確かめたい
公開前の環境で、ログインの後ろにある画面やAPIまで検査します。見つかった問題は、直す順番と一緒にお伝えします。
年に1回など、決まった間隔で診断したい
同じ手順で回し直せるように、検査の設定と検証環境の立て方を残します。前回の結果と並べて、変わったところがわかる報告書にします。
使っているライブラリやサーバーに、新しい脆弱性が公表された
公表された脆弱性が自社のシステムに当てはまるかを、動いているシステムに対して確かめます。
SCOPE
診断する範囲
本番に向けるのは状態を変えない読み取りの検査だけです。検査用の文字列を送る検査は、本番と同じ構成の検証環境に向けます。
本番読み取りだけ
ネットワークとクラウド
- ポートの開き方
- TLS の設定と証明書
- 入口の応答とセキュリティヘッダ
- DNS の設定
- 既知の脆弱性や設定の不備（状態を変えない検査）
- クラウドの設定（通信の許可・ストレージの公開範囲・ログと検知）
本番と同じ構成の検証環境検査の要求を送る
アプリケーション（サーバー側）
- ログインを保ったままの動的診断（SQLインジェクション・XSS・各種の注入・パストラバーサル・外部へのリダイレクトなど）
- 立場ごとの権限の確認（すべての画面・APIとすべての立場の組み合わせ）
- ツールで見つけにくい点の手作業での確認（金額などの改ざん・ほかの組織のデータの参照・エラー時の情報の出方）
- 依存ライブラリの既知の脆弱性
本番と同じ構成の検証環境検査の要求を送る
アプリケーション（画面側）
- セキュリティヘッダと Cookie の属性
- 画面上の XSS
- 端末に残るデータ
- 画面に渡しているデータ（パスワードのハッシュやトークンが載っていないか）
- 公開しているファイル（ソースマップなど）
使うツールは OWASP ZAP・Nuclei・testssl.sh・nmap などです。見つけた脆弱性を使って侵入を試すこと（ペネトレーションテスト）と、負荷をかける試験は行いません。
APPROACH
診断の進め方
本番を守ることと、検査が本当に届いたかを確かめることを、どの診断でも同じ手順で行います。
本番
本番は読み取りだけ。検査は本番と同じ構成の検証環境で
検査用の文字列を送る検査は、本番と同じ構成で立てた使い捨ての検証環境に向けます。本番に向けるのは、ポートやTLSの確認など状態を変えない検査だけです。検証環境を立てるのが難しい場合はステージング環境を使い、診断が終わったら検証環境は撤去します。
到達
検査が届いたことを確かめてから「問題なし」と書く
自動の検査は、途中でログアウトされたり入力チェックで弾かれたりすると、アプリの処理まで届きません。送った要求をすべて記録し、処理まで届いたことを数で確かめてから結果を出します。
立場
ログインの内側を、立場ごとに
一般の利用者・管理者・権限を止めた利用者など、立場ごとにログインして、すべての画面とAPIの応答を表にします。ほかの人のデータが見えないか、権限を越えた操作ができないかを確かめます。
分担
AIエージェントとエンジニアで分担する
検査の計画・実行・結果の整理・報告書の下書きはAIエージェントが担い、計画の確定と検査の開始、結果の判定はエンジニアが行います。人の手順を減らして、期間と費用を抑えます。
修正
見つけた問題は、直すところまで
テックビーンズは開発会社です。直し方を具体的にお伝えし、ご希望があれば修正と再診断まで対応します。
REPORT
報告書
審査に提出する前提で、サマリーと詳細の2つに分けてお渡しします。
- サマリー
- 重要度ごとの件数、重大な問題の有無、確認できた安全性
- 詳細
- 事項ごとの内容・影響・重要度・再現の手順・対処・再診断の結果
- 重要度
- ツールの評価をそのまま使わず、ログインなしで届くか・ログイン後か・管理者だけかを掛け合わせて付けます
- 再診断
- 初回・対策・再診断の結果を、同じ事項ごとに並べます
- 形式
- Word・Excel・PDF
- 質問への回答
- 提出後に審査の担当者から届いた質問にも回答します
目次（例）
脆弱性診断報告書
- 01目的と範囲
- 02対象
- 03体制とツール
- 04手法
- 05結果の要約
- 06事項ごとの結果（初回 → 対策 → 再診断）
- 07確認できた安全性
- 08残っているリスクと例外
- 09今後の進め方
FLOW
ご相談から報告までの流れ
- 01
ご相談
対象のシステムと、診断が必要になった事情（審査・リリース・定期の診断など）をお聞きします。
- 02
範囲と計画の確定
診断する範囲、ログインの立場、検査の時間帯、検証環境の用意の仕方を決め、診断の実施についての同意書を取り交わします。
- 03
検証環境の準備
本番と同じ構成の検証環境を立てます。難しい場合はステージング環境を使います。
- 04
診断
本番には読み取りの確認だけ、検証環境には検査の要求を送ります。検査が届いたかもあわせて確かめます。
- 05
報告
報告書をお渡しし、結果と直し方をご説明します。
- 06
修正と再診断
ご希望があれば修正を行い、再診断の結果を報告書に加えます。
期間は、対象の規模と検証環境の用意の仕方で変わります。ご相談の際に目安をお伝えします。
PRICE
費用
40万円〜
応相談金額は次の3つで決まります。ご相談の内容を伺ったうえで、お見積りをお出しします。
- 診断する画面とAPIの数
- ログインの立場の数
- 検証環境の用意の仕方（本番と同じ構成を立てる・ステージングを使う）
検証環境をお客様のクラウドに立てる場合、その利用料は環境を立てている間だけかかります。
FAQ