脆弱性診断とは？

脆弱性診断とは、システムやソフトウェアに存在する脆弱性や設定不備を発見し、悪用された場合の影響と対応優先度を評価するプロセスです。

ツールによる自動診断と、セキュリティ技術者による手動診断を組み合わせることで、既知の脆弱性だけでなく、認証・認可やシステム固有の構成に起因する問題も確認します。

診断結果は報告書として整理し、危険度の高い問題から修正を進めるために利用します。

システムやソフトウェアに脆弱性が残っていると、第三者による不正アクセス、情報漏えい、Webサイトの改ざん、サービス停止などにつながる可能性があります。

新しい脆弱性や攻撃手法は継続的に発見されるため、リリース時に問題がなかったシステムでも、時間の経過や機能追加、環境変更によってリスクが生じます。

脆弱性診断を実施することで、現在の問題を把握し、被害が発生する前に優先順位を付けて対応できます。

ranryu Secure Solutionでは、Webサービス全体をカバーする診断に対応しています。
また、診断する対象に応じてサービスプランを用意しております。
診断対象に応じた最適な診断メニューをご提案し、セキュリティエンジニアによる診断を適切な価格で提供します。

お客様の環境やご要望、ご予算に応じて、最適なセキュリティ診断を提供しています。
脆弱性診断サービスを提供している同業他社との違いについて、特徴をまとめます。

脆弱性診断には、「ツールによる自動診断」と「手動診断」の2種類があります。

「ツールによる自動診断」は、手動では膨大な時間や手間がかかる作業を、短時間かつ低コストで実施できることがメリットです。一方で、「万が一誤検知が紛れても判断できない」、「構成上の問題など、環境に応じた配慮ができない」という理由により、脆弱性を見逃す結果を招く可能性も持ち合わせています。

「手動診断」は、「ツールによる自動診断」と比較すると作業時間やコストがかかるという難点がありますが、文字通り人の手や知見を用いて実施するため、様々な顧客のシステム環境の一つ一つに柔軟に対応し、くまなく脆弱性診断が行えることがメリットです。

目的と用途に合わせて診断方法を選択する必要があるため、ranryuの脆弱性診断では「ツールによる自動診断」も取り入れつつ、セキュリティエンジニアによる攻撃者目線での「手動診断」を軸として診断を実施しています。

診断方法としては、インターネット経由でのリモート診断を、対象機器やアプリケーションに対して実施します。
攻撃者と同じ条件で診断を行うことで、よりリアルな診断結果を提供します。
また、低負荷・非破壊型で診断を行いますので、診断により環境が壊れてしまうことがないように実施します。

※古いOSやミドルウェア等利用環境では、サービス停止等の予期せぬ障害が発生する可能性もあります。保証することはできかねますので、事前にバックアップ等の対策をお願いいたします。

せっかく診断を行っても、検査漏れや見落としを起こし、脆弱性を見逃しては意味がありません。
そのような事象を防ぐため、診断対象の特性に応じた個別カスタマイズした診断も実施しています。

脆弱性診断会社を選ぶ際は、「診断後に修正できるか」が重要です。
多くの診断会社はレポート提出で終わるため、実際の改善に繋がらないケースも少なくありません。
ranryuでは、開発チームが実際に修正できるレベルまで支援し、修正・改善まで伴走します。
そのため、「診断して終わりではなく、確実に改善まで進めたい企業」に選ばれています。

脆弱性診断は、自社の環境やセキュリティ要件、予算などの条件に応じて最適な方法を選択する必要があります。しかし、これらの判断には専門的な知識を要する場合もあり、一から自分たちで計画していくには時間もコストもかかってしまいます。

信頼できるセキュリティ診断を実施するには、熟練の知識とノウハウが必要です。脆弱性診断をご検討の方はぜひranryuに相談ください。