プラットフォーム脆弱性診断サービス
Platform Vulnerability assessment Service
外部からアクセス可能な
サーバーやネットワーク機器を対象に、
ツール診断とセキュリティ技術者による
確認を実施します。
CVE・CVSS・EPSSとお客様の環境情報をもとに、
対応すべき脆弱性の優先順位を明確にします。
外部からアクセス可能なサーバーやネットワーク機器を対象に、
ツール診断とセキュリティ技術者による確認を実施します。
CVE・CVSS・EPSSとお客様の環境情報をもとに、
対応すべき脆弱性の優先順位を明確にします。
株式会社ranryuの「プラットフォーム脆弱性診断サービス」は、
経済産業省（METI）の定める「情報セキュリティサービス基準」への適合を認められ、
独立行政法人情報処理推進機構（IPA）が公開する、
「情報セキュリティサービス基準適合サービスリスト」へ登録されています。
株式会社ranryuの
「プラットフォーム脆弱性診断サービス」は、
経済産業省（METI）の定める
「情報セキュリティサービス基準」への適合を認められ、
独立行政法人情報処理推進機構（IPA）が公開する、
「情報セキュリティサービス基準適合サービスリスト」へ
登録されています。
サービスイメージ
サーバー、OS、ミドルウェア、ネットワーク機器などを対象に、
設定不備や既知の脆弱性、不要なサービスの公開などを確認します。
診断は原則として、インターネット経由のリモート方式で実施します。
アクセス制限された環境は、ranryuの診断環境から接続できるよう
許可設定を行っていただくことで診断可能です。
お客様のLAN内部から実施するオンサイト診断には対応していません。
対象環境や接続方法が分からない場合は、見積もり前にご相談ください。
サーバー、OS、ミドルウェア、ネットワーク機器などを対象に、設定不備や既知の脆弱性、不要なサービスの公開などを確認します。
診断は原則として、インターネット経由のリモート方式で実施します。アクセス制限された環境は、ranryuの診断環境から接続できるよう許可設定を行っていただくことで診断可能です。
お客様のLAN内部から実施するオンサイト診断には対応していません。対象環境や接続方法が分からない場合は、見積もり前にご相談ください。
SCROLL→
診断対象
以下のようなシステムおよび機器が対象となります。
公開システム
Webサーバ
Mailサーバ
etc
社内システム
共有ファイルサーバ
ファイアウォール
etc
アクセス制限された
システム
アクセス制限されたシステム
開発用ステージングサーバ
オンプレADサーバ
etc
診断で使用する脆弱性評価指標
国際標準となるセキュリティ基準など、
下記外部基準を満たす診断項目を用意し、高品質の診断サービスを提供します。
国際標準となるセキュリティ基準など、下記外部基準を満たす診断項目を用意し、高品質の診断サービスを提供します。
共通脆弱性識別子
CVEは、公開された脆弱性を識別するための共通番号です。製品やソフトウェアに発見された脆弱性を、組織やツールをまたいで同じ名称で確認するために使用します。
共通脆弱性評価システム
CVSSは、脆弱性の深刻度を数値で評価するための指標です。攻撃の難易度や影響範囲などから、脆弱性対応の優先順位を判断する際に使用します。
脆弱性悪用
スコアリング・システム
脆弱性悪用スコアリング・システム
EPSSは、公開された脆弱性が実際に悪用される可能性を予測する指標です。ranryuでは、CVSSによる深刻度だけでなく、EPSSやお客様の環境情報も確認して対応優先度を評価します。
独自スコアリングシステム
安価で短納期のプラットフォーム診断を実施した場合、
ツールから出力されるレポート結果を
そのまま見た目だけ変えて報告書として提出されることがあります。
その場合、以下のデメリットが生じる可能性があります。
安価で短納期のプラットフォーム診断を実施した場合、ツールから出力されるレポート結果をそのまま見た目だけ変えて報告書として提出されることがあります。
その場合、以下のデメリットが生じる可能性があります。
アラートされている脆弱性が、本当に悪用される可能性のあるものか考慮されていない
ツールの結果出力だけで、それぞれの環境を考慮した診断結果となっていない
構成上の問題は、ツールでは配慮できない
ranryuのプラットフォーム診断では
脆弱性を機械的に発見・報告するのではなく、
独自スコアリングにより、“本当のリスク”を評価します。
ranryuのプラットフォーム診断では
脆弱性を機械的に
発見・報告するのではなく、
独自スコアリングにより、
“本当のリスク”を評価します。
SCROLL→
診断フロー
診断実施タイミングでの結果のため、定期的な診断や改修後の再診断をおすすめします。
必要に応じて、改修や運用支援も可能なため、お気軽にご相談ください。
基本項目
01
調査
02
ツール診断
03
手動診断
04
分析
05
レポート
06
改修
07
再診断
08
運用
09
定期診断
※改修、運用については個別案件としてご相談に対応させていただきます。
診断方法
（ツールおよび手動診断）
STEP 01
各対象システムに対して、脆弱性スキャンを実施
STEP 02
脆弱性スキャンと事前取得情報をもとに評価・診断
STEP 03
必要に応じて、専門技術者により詳細確認
手順補足
セキュリティエンジニアによる詳細確認は、スタンダードスキャンプランにて
実施します。
診断結果をもとに事前情報を加味して、総体的に詳細評価・コメントを行います。
セキュリティエンジニアによる詳細確認は、
スタンダードスキャンプランにて実施します。
診断結果をもとに事前情報を加味して、
総体的に詳細評価・コメントを行います。
セキュリティエンジニアによる詳細確認は、スタンダードスキャンプランにて実施します。
診断結果をもとに事前情報を加味して、総体的に詳細評価・コメントを行います。
メンテナンス
頻度について
・新たな攻撃手法が出回ったときや、効果的な検出手法が構築される毎に
更新します。
・特に新しい攻撃手法への対応は、ツールだけに頼らずに手動でも
確認するため、迅速に対応しています。
・新たな攻撃手法が出回ったときや、
効果的な検出手法が構築される毎に更新します。
・特に新しい攻撃手法への対応は、
ツールだけに頼らずに手動でも確認するため、
迅速に対応しています。
プラン
お客様のニーズに合わせた、2つのプランをご用意しています。
スピード&コスト重視
１IPあたり最短3営業日で完了！
クイック
スキャンプラン
主要ポートを中心に、
対象機器を迅速に診断します。
サクッと自社の脆弱性を診断したい時に
おすすめです。
診断対象を
包括的に診断
スタンダード
スキャンプラン
クイックスキャンプランに加えて、
全ポートを対象に診断します。
またセキュリティエンジニアにより、
詳細を確認し必要に応じて推奨事項を
コメントします。
診断プラン比較
SCROLL→
※１：診断結果について、構成上などから評価できることをセキュリティエンジニアによりコメント可能箇所についてコメントします。
※２：リモートにより実施させていただくことを前提とします。
※３：基本営業時間10：00〜18：00以外での対応が対象となります。
オプションプラン詳細
01
脆弱性対応
オプションにて、診断後の脆弱性対応も対応しています。
脆弱性対応の例は以下となります。
SCROLL→
＜注意事項＞
・お客様独自アプリケーション（開発ベンダにより作成されたものを含む）の修正対応は、提供外となります。
・対応作業は、リモートから実施できることを前提とします。
・対象サーバーやネットワーク機器へのログイン権限(管理者権限含む)を事前にご提供をお願いいたします。
・有償OS(RedHat Enterprise Linux等)の場合は、アップデートパッケージを入手できるベンダーとの
サポート契約をお客様にて締結いただいていることが条件となります。
・本番環境に対して対応を行う前にステージング環境に対して対応・確認を行う場合は、お客様にて
ステージング環境を準備いただけるものとします。
・本番とステージング両方に対して行う場合は、別々に費用が発生します。
(※）サイトの構成や環境によって実施可否を
判断させていただきます。
環境によっては、実施できない場合もございますので、
ご留意ください。
02
診断結果解説、時間外指定または時間外対応
02
診断結果解説、
時間外指定または時間外対応
提出した診断結果報告書の解説をオンラインにて実施することも可能です。
また、オプション追加にてお急ぎの場合の特急対応や、通常対応時間外での実施も可能です。
SCROLL→
※１：オンラインにて、診断結果解説の報告会を一回開催いたします。（報告会では、診断結果報告書をもとに説明を実施します）
※２：お客様より診断完了時期の指定や診断期間の短縮など、診断期間を指定される場合、対応可否判断のうえ、通常価格に対して割増料金が発生します。
定期診断パッケージ
年間2回以上の診断をご希望されるお客様向けに、
全プランを対象として、1回あたりの診断料がお安くなる
"お得な定期診断パッケージ" もご用意しています。
年間での実施回数のみ固定となり、
診断内容の組み合わせは、お客様のご意向を踏まえ決定いたします。
年間2回以上の診断をご希望されるお客様向けに、全プランを対象として、1回あたりの診断料がお安くなる "お得な定期診断パッケージ" もご用意しています。
年間での実施回数のみ固定となり、診断内容の組み合わせは、お客様のご意向を踏まえ決定いたします。
半年診断の場合
年間2回の組み合わせは自由です。組み合わせ例は、以下イラストの通りです。
組み合わせた内容に応じて、割引が適用されます。
※ベース診断：対象範囲を全て診断します。年間での実施可能回数は最大２回までとなります。
※ 再診断：ベース診断の結果、重要な部分だけ再診断として診断します。
(※）サイトの構成や環境によって実施可否を
判断させていただきます。
環境によっては、実施できない場合もございますので、
ご留意ください。
実施イメージ
定期診断パッケージにおける、スケジュールイメージは以下の通りです。
年2回〜4回まで、診断頻度を柔軟に選択可能。
継続的な診断と改善サイクルを通じて、セキュリティリスクの早期発見と対応を可能にします。
SCROLL→
割引率
全プラン、定期診断パッケージでのお申し込みに限り、通常診断料に割引を実施しております。
SCROLL→
※ 割引率について：診断料のみが割引対象となります。診断結果報告会などのオプションについては割引はありません。
特別オプション
定期診断パッケージをお申し込みいただいた企業様限定で、以下のオプションを提供しております。
継続的なセキュリティ対策を
ご希望の企業におすすめ
監視・脆弱性管理サービス
「&WATCH」
監視・脆弱性管理サービス
「&WATCH」
「&WATCH」は、継続的なシステム監視と脆弱性管理を目的としたセキュリティ保守サービスです。
専用の監視・診断ツールを用いて、インフラおよびソフトウェアの両面からリスクを可視化・管理。
障害や脆弱性への対応時間を削減し、セキュリティ運用の効率化と安定稼働を実現します。
「&WATCH」は、継続的なシステム監視と脆弱性管理を目的としたセキュリティ保守サービスです。
専用の監視・診断ツールを用いて、インフラおよびソフトウェアの両面からリスクを可視化・管理。
障害や脆弱性への対応時間を削減し、セキュリティ運用の効率化と安定稼働を実現します。
クイック
スキャンプラン
定価から10%割引でご提供
社内に担当者や
相談窓口がいない場合におすすめ
メール
サポート
メール
サポート
チケット制で、お申し込みの診断プランに関係なく、メールでのサポートを実施します。
年間12回、24回と頻度に合わせた2つのプランをご用意。
診断対象についてや、診断後の結果についてなどお気軽にご相談ください。
チケット制で、お申し込みの診断プランに関係なく、メールでのサポートを実施します。
年間12回、24回と頻度に合わせた2つのプランをご用意。
診断対象についてや、診断後の結果についてなどお気軽にご相談ください。
クイック
スキャンプラン
診断結果報告書
CVEやEPSSなどの第三者機関の評価指標結果を含めて、診断結果を報告します。
SCROLL→
発見された脆弱性が実際に悪用可能か、
侵入後にどのような影響があるかまで検証したい場合は、
ペネトレーションテストをご利用ください。
料金
詳細なお見積もりについてはお気軽にお問い合わせください。
オプション選択についてお悩みの方も、お気軽にご相談ください。
IP数・対象機器から概算見積もりを相談する
IP数・対象機器から
概算見積もりを相談する
サービス提供フロー
診断からアフターサポートまでワンストップで提供しています。
01
診断前事前準備
診断対象と実施日時を決定します
・サイト情報のご提供
・診断可能日時とご担当者様情報のご提供
・画面遷移図などのサイト情報の
ご提供
・診断用アカウントのご提供
・診断日時とご担当者様情報の
ご提供
提出ドキュメント
申込書/ヒアリングシート
02
診断
リモート診断を実施します
・診断の開始/終了を担当者様にご連絡
・重大な脆弱性が発見された場合、緊急報告を実施
・診断の開始/終了を担当者様に
ご連絡
・重大な脆弱性が発見された場合、
緊急報告を実施
03
報告
診断結果を報告します
・診断終了後、2営業日程度で報告書を提出
・オプションで専門技術者による診断報告会を開催することも可能
・診断終了後、2営業日程度で
報告書を提出
・オプションで専門技術者による
診断報告会を開催することも可能
提出ドキュメント
診断結果報告書
オプション
診断結果解説
04
アフターサポート
必要に応じてアフターサポートを行います
・報告書記載内容についてのQAを受け付け
（スタンダードスキャンプラン以上）
・再診断の実施
・報告書記載内容についての
QAを受け付け
（スタンダードスキャンプラン以上）
・再診断の実施
提出ドキュメント
再診断報告書
オプション
再診断