Vulnerability Assessment
脆弱性診断
ツール任せではなく、業務影響を起点に手動で深掘り。実際に起こりうる経路と影響範囲を、再現可能な形でお渡しします。
診断範囲
代表的な対象。組み合わせや限定スコープも相談可能です。
Webアプリ
- ブラウザ系画面
- 認証・認可・セッション
- REST / GraphQL API
- ファイルアップロード
プラットフォーム
- OS / ミドルウェア
- ネットワーク境界
- VPN / リモート接続
- 認証基盤 (IdP)
クラウド
- IAM 権限分離
- ストレージ公開設定
- 監査ログ / 通知
- コンテナ / サーバレス
診断手法
OWASP Top 10 / ASVS / NIST 参考をベースに、業務影響から逆算した手動検証を行います。
- ・ツール診断（網羅性確保）+ 熟練アナリストの手動診断（深堀り）のハイブリッド
- ・認証あり / なし、ロール別アカウントを用いた認可テスト
- ・PoC とリクエスト / レスポンスを報告書に添付し、再現可能性を担保
- ・誤検知の混入を避けるため、検出は人手レビュー後に確定
標準スケジュール（中規模Webアプリの例）
STEP 01
ヒアリングと範囲確定
対象システム・認証種別・API・除外対象を整理し、診断計画書を作成します。
STEP 02
事前準備
テスト環境の払い出し、テストアカウント発行、IP制限、データの取り扱い基準を確認します。
STEP 03
診断実施
ツール診断と熟練アナリストの手動診断を組み合わせ、実害につながる経路を深掘りします。
STEP 04
報告書作成
経営層サマリ・技術詳細・PoC・推奨対策を整理。CVSS と独自リスクスコアの両方で記載します。
STEP 05
報告会
オンライン / 訪問で実施。改修方針の判断と優先度づけを支援します。
STEP 06
再診断
報告会から3か月以内を目安に、改修済み箇所を再確認します（標準1回付帯）。
標準期間: ヒアリング1週 + 診断2〜4週 + 報告1〜2週。緊急時はスコープ調整でさらに短縮できます。
レポート内容
経営層サマリ
- 全体リスク評価
- 事業影響と優先度
- 対応方針の選択肢
技術詳細
- 脆弱性ごとのCVSSと独自リスク評価
- 再現手順 / PoC
- 対策の具体例（コード例含む）
改善計画
- 短期 / 中期での改修ロードマップ
- 再診断観点
- 監視・運用への接続案
付録
- 対象一覧と除外項目
- 使用ツールと検査リクエスト数
- 用語集