こんなときに
こんなときにおすすめです
- 公開する前に、ソースコードの段階で弱点をつぶしておきたい
- 暗号の使い方や記録（ログ）の残し方など、外からは確かめにくいところまで見てほしい
- 検証用の環境を用意するのがむずかしいシステムを診断したい
- 開発を外部に任せていて、納品されたコードが安全か確かめたい
- アジャイル開発で、開発の区切りごとに少しずつ見てほしい
- 外からの診断（ブラックボックス診断）とあわせて、より確実に調べたい
特徴
SecureHattersのホワイトボックス診断
-
コードの中から、見つけにくい弱点まで
ツールによる自動診断と、開発経験の豊富なエンジニアによる手動診断を組み合わせて、ソースコードを直接調べます。暗号の使い方の誤りや記録（ログ）の不備など、条件が複雑だったり、外からは見えにくかったりする弱点も見つけられます。
-
CTFで入賞経験のあるエンジニアが読み解きます
複雑なコードを正しく読み解くには、高い技術と発想力が必要です。国内外のCTFで入賞経験のあるエンジニアを中心にチームを組んで診断します。対象に合わせて、必要なツールを作ることもあります。
-
コードの一部だけでも診断できます
ソースコードを全部お預けいただく必要はありません。一部だけでも診断できるため、アジャイル開発の区切りごとに、変更したところだけを見るといった使い方もできます。ご要望に応じて、同時に処理が走ったときの不具合（レースコンディション）など、特別な観点での診断も行います。
※ 一部だけの場合、全体を見る場合より精度は少し下がります。
-
環境がなくても、言語を問わず診断できます
コードを直接調べるため、動かす環境を用意しにくいシステムでも診断できます。エンジニアは開発にも詳しいため、ほとんどの開発言語に対応できます。
対応言語の例
診断項目
主な診断項目
ホワイトボックス診断は、Webアプリケーション・API診断と、アプリケーション診断（スマホ・パソコン）の診断項目をすべてカバーします。
ソースコードを見るからこそ見つけやすい弱点6項目
| 暗号の使い方の誤り | 鍵の扱い方や暗号の方式など、コードを読まないとわからない使い方の誤りがないか |
|---|---|
| 記録（ログ）の不備 | 不正な操作をあとから追えるように、必要な記録を残しているか |
| 条件が複雑な弱点 | 特定の条件が重なったときだけ起きる、外からは再現しにくい弱点がないか |
| 同時処理の競合（レースコンディション） | 同時に処理が走ったときに、残高や在庫などがおかしくならないか |
| 埋め込まれたパスワード・鍵 | パスワードや鍵が、コードの中にそのまま書かれていないか |
| 権限チェックの抜け | 権限の確認が、一部の処理だけ抜けていないか |
※ すべての項目はサービス資料に載せています。
料金
期間・費用の目安
費用は、コードの量や開発言語、診断の範囲によって変わります。正式なお見積もりは、内容を伺ってからお出しします。
-
ホワイトボックス診断
ツールによる自動診断と、エンジニアによる手動診断を組み合わせて、ソースコードを調べます。
- 費用の目安
- 50万円〜
- 期間の目安
- 10営業日〜
※ 金額はすべて税別です。ソースコード約1万6千行で50万円、約3万行で100万円が目安です。期間は診断の作業の日数で、コードの量によって長くなります。
費用が変わる条件
- コードの量（行数・ファイル数）
- 開発言語やフレームワークの数
- 全体を診断するか、一部だけを診断するか
- 外からの診断（ブラックボックス診断）と組み合わせるかどうか
- 修正後の再診断の有無
報告書
報告書でわかること
経営層の方、開発の担当の方、監査や取引先へ説明する方。それぞれが必要な情報を、1冊の報告書にまとめてお渡しします。
セキュリティ診断 報告書結果サマリ
| No | リスクレベル | 指摘事項 |
|---|---|---|
| 1 | Medium | 権限の確認の不備 |
| 2 | Medium | サポートが終了したソフトの使用 |
| 3 | Low | ファイルアップロードの検証不備 |
| 4 | Low | HSTSの設定がない |
| 5 | Information | ログアウト後もトークンが使える |
※ イメージです
セキュリティ診断 報告書指摘の詳細
リスクレベル Medium
脆弱性の概要
再現の手順
対策
※ イメージです
経営層・ご担当の方へ
- 総合評価（A〜Eの5段階）見つかった弱点の危険度から、サービス全体の状態を5段階で評価します。
- 指摘事項の一覧見つかった弱点を、危険度（Critical〜Informationの5段階）の高い順に一覧にします。
- 業務への影響情報漏えいや不正な支払いなど、弱点が悪用されたときに業務で何が起きるかをご説明します。
開発の担当の方へ
- 再現の手順どの画面でどう操作すると攻撃できてしまうのかを、画面やコマンドつきでお示しします。
- 対象の箇所問題のある画面・URL・パラメータを、1つずつ特定します。
- 具体的な直し方開発の担当の方が、そのまま修正に取りかかれる内容でご提案します。
監査・取引先への説明に
- 診断の概要診断の期間・手法・使ったツール・対象の範囲を明記するので、取引先や監査への提出資料として使えます。
危険度の高い弱点は、すぐにお知らせします報告書の完成を待たずに、見つかった時点でご連絡します。
進め方
診断の進め方
- 01ご相談・ヒアリング対象のサービスと、ご希望の時期を伺います
- 02お見積もり・ご契約対象の範囲と期間を決めてお見積もりします
- 03事前準備ソースコードの受け渡し方法と、診断の範囲を決めます
- 04診断の実施ツールとエンジニアの手でソースコードを調べます
- 05報告書の納品・報告会結果と対策をご説明します
- 06再診断（ご希望の場合）修正できたかを確かめます
ご準備いただくもの
- 診断するソースコード（全体または一部）
- 開発言語・フレームワーク・使っている部品（ライブラリ）の一覧
- 仕様書や設計の資料（あれば）
- ソースコードの受け渡し方法（リポジトリへの招待など）
よくあるご質問
よくあるご質問
外からの診断（ブラックボックス診断）と、何が違いますか？
外からの診断は、攻撃者と同じように外から操作して弱点を探します。ホワイトボックス診断は、ソースコードを読んで弱点を探すため、外からは見えにくい弱点まで見つけられます。両方を組み合わせると、より確実に調べられます。
ソースコードの一部だけでも頼めますか？
はい。一部だけでも診断できます。全体を見る場合より精度は少し下がりますが、変更したところだけを見るなど、開発の区切りごとの診断にも使えます。
開発中に、くり返し頼むことはできますか？
はい。アジャイル開発の区切りごとに、少しずつ診断を組み入れることもできます。