Webセキュリティ診断サービス

セキュリティ診断サービスの概要

対象組織（一例）

• 民間企業のWebサイト
• 県庁、市町村役場のWebサイト
• 重要情報・個人情報を取り扱う社内システムを運用して　いる組織。
• Webアプリケーションを開発している開発組織。（納品前診断、改編・機能追加時の診断など）
• クラウドサービスを提供している組織。

診断の概要

Webアプリケーション診断

動的遷移部分（例：登録ボタン、検索ボタン、保存ボタン押下した時など）に対し、診断ツール及び手動により脆弱性を調査します。

【動的遷移とは】
サーバ側では受け取ったパラメータと値に応じて動的にページを生成し、アクセス者に結果を返す、という流れが発生する処理がセキュリティ診断の対象となります。

主な診断内容

＊以下は一例であり、診断対象のWebアプリケーション等により診断項目は変わります。

◆目視によるWebアプリケーションの挙動確認
◆フォームの入力による挙動確認
◆アクセス制御の確認

主な診断項目

＊以下は一例であり、稼働しているWebアプリケーション等により診断項目は変わります。

インジェクション、パストラバーサル、XML外部エンティティ参照 (XXE)、オープンリダイレクト、認証回避、ログアウト機能、パスワードリセットの不備、CSRF、セッションフィクセイション、クエリストリング情報の漏洩、キャッシュからの情報漏洩、不要なHTTPメソッド、公開不要な機能・ファイル・ディレクトリの存在　など