API脆弱性診断サービス
API Vulnerability assessment Service
公開中または検証環境のWeb APIを対象に、
ツール診断とセキュリティ技術者による
手動診断を実施します。
OWASP API Security Top 10を基準に
問題点を可視化し、
改善提案・再診断まで支援します。
公開中または検証環境のWeb APIを対象に、
ツール診断とセキュリティ技術者による手動診断を実施します。
OWASP API Security Top 10を基準に問題点を可視化し、
改善提案・再診断まで支援します。
API脆弱性診断サービス
株式会社ranryuの「API脆弱性診断サービス」では、
経済産業省（METI）の定める「情報セキュリティサービス基準」への適合を認められ、
独立行政法人情報処理推進機構（IPA）が公開する、
「情報セキュリティサービス基準適合サービスリスト」へ登録されています。
株式会社ranryuの
「API脆弱性診断サービス」は、
経済産業省（METI）の定める
「情報セキュリティサービス基準」への適合を認められ、
独立行政法人情報処理推進機構（IPA）が公開する、
「情報セキュリティサービス基準適合サービスリスト」へ
登録されています。
サービスイメージ
稼働中のWeb APIを停止せずに、診断を行います。
診断はインターネット経由で外部から実施します。
稼働中のWeb APIを停止せずに、診断を行います。
診断はインターネット経由で外部から実施します。
稼働中のWeb APIを停止せずに、
診断を行います。
診断はインターネット経由で外部から
実施します。
SCROLL→
適合している外部基準
国際標準となる外部セキュリティ評価基準を基に診断項目に基づいて診断することで
ムラや抜け漏れのない高品質な診断サービスを提供します。
OWASP API Security Top10は、The OWASP Foundationにより、世界中の利用実態に基づいて悪用のしやすさ、検知のしやすさ、および影響についての共通認識の推計を組み合わせた上で、選択し、優先順位付けされたセキュリティ脅威のTop10となります。
OWASP：ASVS
ASVS(Application Security Verification Standard/ASVS:アプリケーションセキュリティ検証標準)は、OWASP ASVS Projectの活動を通じて開発された、最新のWebアプリケーションとWebサービスの設計、開発、テストに必要な機能的および非機能的なセキュリティコントロールの定義に焦点を当てたセキュリティ要件とコントロールのフレームワークとなります。
IPA
安全なウェブサイトの
作り方
安全な
ウェブサイトの
作り方
「安全なウェブサイトの作り方」は、IPAが届出を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、Webサイト開発者や運営者が適切なセキュリティを考慮したWebサイトを作成するための資料です。
アプリケーションを開発する上で、基本的なセキュリティ基準とされています。
診断フロー
診断実施タイミングでの結果のため、定期的な診断や改修後の再診断をおすすめします。
必要に応じて、改修や運用支援も可能なため、お気軽にご相談ください。
基本項目
01
調査
02
ツール診断
03
手動診断
04
分析
05
レポート
06
改修
07
再診断
08
運用
09
定期診断
※改修、運用については個別案件としてご相談に対応させていただきます。
診断方法
（ツールおよび手動診断）
STEP 01
検査対象Web APIの仕様、サーバー設定や構成要素、ネットワークの確認
STEP 02
検査リクエストに対して、レスポンスを分析
STEP 03
取得情報から、専門技術者による追加での手動確認および報告書作成
手順補足
・1パラメータに対して、複数件の検査リクエストを送信します。
※パラメータの多いWeb APIでは、1APIに対して数万件となる
ケースもあります。
・検査種別は、診断項目により内容が主なものになります。
・利用するツールは、下記を用いて診断を実施します。
・対象アプリケーションの性質上、ツールの特性を鑑みて選定においては
適宜行い、最適なツールにより診断します。
- OWASP ZAP
- Burp Suite etc...
・1パラメーターに対して、複数件の検査リクエストを送信します。
※パラメータの多いWeb APIでは、1APIに対して数万件となるケースもあります。
・検査種別は、診断項目により内容が主なものになります。
・利用するツールは、下記を用いて診断を実施します。
・対象アプリケーションの性質上、ツールの特性を鑑みて選定においては適宜行い、
最適なツールにより診断します。
- OWASP ZAP
- Burp Suite etc...
・1パラメータに対して、複数件の検査リクエストを
送信します。
※パラメータのWeb APIでは、1APIに対して
数万件となるケースもあります。
・検査種別は、診断項目により内容が主なものに
なります。
・利用するツールは、下記を用いて診断を
実施します。
・対象アプリケーションの性質上、
ツールの特性を鑑みて選定においては
適宜行い、最適なツールにより診断します。
- OWASP ZAP
- Burp Suite etc...
・1パラメータに対して、複数件の検査リクエストを送信します。
※パラメータの多いページでは、１ページに対して数万件となるケースもあります。
・検査種別は、診断項目により内容が主なものになります。
・利用するツールは、下記を用いて診断を実施します。
・対象アプリケーションの性質上、ツールの特性を鑑みて選定においては適宜行い、
最適なツールにより診断します。
- OWASP ZAP
- Burp Suite
- NMAP
- Nessus etc...
メンテナンス
頻度について
・新たな攻撃手法が出回ったときや、効果的な検出手法が構築される毎に
更新します。
・特に新しい攻撃手法への対応は、ツールだけに頼らずに手動でも
確認するため、迅速に対応しています。
・新たな攻撃手法が出回ったときや、
効果的な検出手法が構築される毎に更新します。
・特に新しい攻撃手法への対応は、
ツールだけに頼らずに手動でも確認するため、
迅速に対応しています。
プラン
お客様のニーズに合わせた多様な診断プランをご提供。
短期間で手軽に脆弱性診断ができるクイックツールスキャンから、
より詳細で包括的な診断を行うスタンダードスキャンプランまで、
あらゆるセキュリティリスクに対応します。
目的に応じて最適なプランを選択いただけます。
開発段階やリリース直前における
迅速な確認作業を重視する
企業におすすめ
クイック
ツールスキャンプラン
OWASP ZAPを使用した自動診断により、Web APIの主要な脆弱性を、OWASP API Security Top 10などの基準に沿って短期間で確認します。
最短3営業日以内にレポートを提供し、簡潔な結果報告により、スピーディにセキュリティ対策を講じることが可能です。
ツールを利用した
自動診断＋手動診断による
標準的な診断を実施
スタンダード
スキャンプラン
外部の攻撃者と同じ視点で、認証・認可、入力値検証、セッション管理、情報漏えい、API固有のロジックなどを多角的に診断します。
ツールによる自動診断に加えて、セキュリティ技術者がエンドポイント、パラメーター、認証方式、利用者の権限などを確認します。ツールだけでは検出しにくい問題についても手動で調査し、診断結果と改善に向けた推奨事項を報告します。
診断プラン比較
サービス内容
SCROLL→
※ 1：一部準拠も含めます。
※ 2：リモートにより実施させていただくことを前提とします。
※ 3：基本営業時間10：00〜18：00での対応となります。
診断項目
SCROLL→
オプションプラン詳細
01
診断項目の追加
クイックツールスキャンプラン、スタンダードスキャンプランにプラスした診断項目で実施します。
より幅広く診断したい場合におすすめです。
追加できる項目
SCROLL→
(※）サイトの構成や環境によって実施可否を
判断させていただきます。
環境によっては、実施できない場合もございますので、
ご留意ください。
(※）WebAPIの仕様や構成によって実施可否を判断させていただきます。
環境によっては、実施できない場合もございますので、ご留意ください。
02
診断結果解説、時間外指定または時間外対応
02
診断結果解説、
時間外指定または時間外対応
提出した診断結果報告書の解説をオンラインにて実施することも可能です。
また、オプション追加にてお急ぎの場合の特急対応や、通常対応時間外での実施も可能です。
SCROLL→
※１：オンラインにて、診断結果解説の報告会を一回開催します。（報告会では、診断結果報告書をもとに説明を実施します）
クイックツールスキャンプランは実施の対象外となります。
※２：お客様より診断完了時期の指定や診断期間の短縮など、診断期間を指定される場合、対応可否判断のうえ、通常価格に対して割増料金が発生します。
定期診断パッケージ
年間2回以上の診断をご希望されるお客様向けに、
全プランを対象として、1回あたりの診断料がお安くなる
"お得な定期診断パッケージ" もご用意しています。
年間での実施回数のみ固定となり、
診断内容の組み合わせは、お客様のご意向を踏まえ決定いたします。
年間2回以上の診断をご希望されるお客様向けに、全プランを対象として、1回あたりの診断料がお安くなる "お得な定期診断パッケージ" もご用意しています。
年間での実施回数のみ固定となり、診断内容の組み合わせは、お客様のご意向を踏まえ決定いたします。
半年診断の場合
年間2回の組み合わせは自由です。組み合わせ例は、以下イラストの通りです。
組み合わせた内容に応じて、割引が適用されます。
※ベース診断：対象範囲を全て診断します。年間での実施可能回数は最大２回までとなります。
※ 再診断：ベース診断の結果、重要な部分だけ再診断として診断します。
(※）サイトの構成や環境によって実施可否を
判断させていただきます。
環境によっては、実施できない場合もございますので、
ご留意ください。
実施イメージ
定期診断パッケージにおける、スケジュールイメージは以下の通りです。
年2回〜4回まで、診断頻度を柔軟に選択可能。
継続的な診断と改善サイクルを通じて、セキュリティリスクの早期発見と対応を可能にします。
SCROLL→
割引率
全プラン、定期診断パッケージでのお申し込みに限り、通常診断料に割引を実施しております。
SCROLL→
※ 割引率について：診断料のみが割引対象となります。診断結果報告会などのオプションについては割引はありません。
特別オプション
定期診断パッケージをお申し込みいただいた企業様限定で、以下のオプションを提供しております。
継続的なセキュリティ対策を
ご希望の企業におすすめ
監視・脆弱性管理サービス
「&WATCH」
監視・脆弱性管理サービス
「&WATCH」
「&WATCH」は、継続的なシステム監視と脆弱性管理を目的としたセキュリティ保守サービスです。
専用の監視・診断ツールを用いて、インフラおよびソフトウェアの両面からリスクを可視化・管理。
障害や脆弱性への対応時間を削減し、セキュリティ運用の効率化と安定稼働を実現します。
「&WATCH」は、継続的なシステム監視と脆弱性管理を目的としたセキュリティ保守サービスです。
専用の監視・診断ツールを用いて、インフラおよびソフトウェアの両面からリスクを可視化・管理。
障害や脆弱性への対応時間を削減し、セキュリティ運用の効率化と安定稼働を実現します。
クイック
スキャンプラン
定価から10%割引でご提供
社内に担当者や
相談窓口がいない場合におすすめ
メール
サポート
メール
サポート
チケット制で、お申し込みの診断プランに関係なく、メールでのサポートを実施します。
年間12回、24回と頻度に合わせた2つのプランをご用意。
診断対象についてや、診断後の結果についてなどお気軽にご相談ください。
チケット制で、お申し込みの診断プランに関係なく、メールでのサポートを実施します。
年間12回、24回と頻度に合わせた2つのプランをご用意。
診断対象についてや、診断後の結果についてなどお気軽にご相談ください。
クイック
スキャンプラン
診断結果報告書
OWASPやIPAなどの第三者機関の評価指標を参考に診断結果を評価・報告します。
診断結果と併せて改善提案についても、提言を行います。
SCROLL→
料金
詳細なお見積もりについてはお気軽にお問い合わせください。
オプション選択についてお悩みの方も、お気軽にご相談ください。
API数・仕様書から
概算見積もりを相談する
API数・仕様書から概算見積もりを相談する
サービス提供フロー
診断からアフターサポートまでワンストップで提供しています。
01
診断前事前準備
診断対象と実施日時を決定します
・Web API一覧、仕様書のご提供
・診断可能日時とご担当者様情報のご提供
・Web API一覧、仕様書のご提供
・診断用アカウントのご提供
・診断日時とご担当者様情報の
ご提供
提出ドキュメント
申込書/ヒアリングシート
02
診断
リモート診断を実施します
・診断の開始/終了を担当者様にご連絡
・重大な脆弱性が発見された場合、緊急報告を実施
・診断の開始/終了を担当者様に
ご連絡
・重大な脆弱性が発見された場合、
緊急報告を実施
03
報告
診断結果を報告します
・診断終了後、2営業日程度で報告書を提出
・オプションで専門技術者による診断報告会を開催することも可能
・診断終了後、2営業日程度で
報告書を提出
・オプションで専門技術者による
診断報告会を開催することも可能
提出ドキュメント
診断結果報告書
オプション
診断結果解説
04
アフターサポート
必要に応じてアフターサポートを行います
・報告書記載内容についてのQAを受け付け
（スタンダードスキャンプラン以上）
・再診断の実施
・報告書記載内容についての
QAを受け付け
（スタンダードプラン以上）
・再診断の実施
提出ドキュメント
再診断報告書
オプション
再診断