IPAの公開基準に基づく13項目の診断
IPA「安全なウェブサイトの作り方」別冊「ウェブ健康診断仕様」に基づき、13項目の脆弱性を確認します。
診断の対象
本サービスは、Webサイト／Webアプリケーションを対象とするWebアプリケーション脆弱性診断です。
診断メニューの単位は、原則として1サイト／1アプリです。
簡単にいうと、1回のご依頼では、1つのWebサイトまたは1つのWebアプリケーションを基本単位として診断します。
対象範囲は、FQDN、URL、対象機能、利用者権限、実施環境、対象外範囲等を事前に確認したうえで確定します。
対象となる主な例
- 一般公開されているWebサイト・Webアプリケーション
- ログイン機能を持つWebアプリケーション
- 会員向け画面、管理画面等の認証後機能
- 検索、登録、変更、ファイル利用等の入力機能
- ブラウザ上のWebアプリケーション機能から利用されるAPI（IPA「ウェブ健康診断仕様」を適用できる範囲）
認証後の画面を診断する場合は、原則として診断用のテストアカウントをご準備いただきます。
診断対象リクエストとは
本サービスでは、Web画面や機能を操作した際に、ブラウザからサーバへ送信されるHTTP通信の単位を「診断対象リクエスト」として扱います。
例えば、「商品検索」「ログイン」「会員情報変更」などでサーバへ送られる通信が、それぞれ診断対象リクエストの例です。1つのリクエストに対して複数の診断パターンを実施する場合でも、診断対象リクエストとしては原則1件と数えます。
10リクエストの目安
Webサイトの構成によって異なりますが、例えば「商品検索」「商品詳細」「ログイン」「会員情報参照・変更」「お問い合わせ」「ファイル参照」など、主要な機能をいくつか持つ小規模なWebサイト／Webアプリケーションで、代表的な通信を選定すると10リクエスト前後になる場合があります。
※実際のリクエスト数は、画面数ではなく、実際に送信されるHTTP通信、認証状態、権限区分等を確認したうえで確定します。
診断の流れ
ご相談・事前ヒアリング
対象Webアプリケーション、確認したい範囲、実施環境、ご希望時期等をお伺いします。
診断範囲・実施条件の確認
FQDN、URL、対象機能、認証・権限、対象外範囲、テストアカウント、実施時間帯、緊急連絡先等を確認します。
脆弱性診断
対象の特性に応じて、自動調査と手動確認を組み合わせて診断します。
分析・判定
診断員が検出結果を分析し、誤検知を確認したうえで危険度・対策優先度を整理します。
報告書作成・レビュー
診断結果報告書を作成し、当該案件の診断作業及び報告書案作成に従事していない担当者がレビューします。
ご報告
確定版の診断結果報告書をご提出し、報告会で結果をご説明します。
標準的な期間の目安
対象範囲が確定し、診断に必要な情報・テストアカウント等がそろった後の目安です。
診断実施2～5営業日程度
分析・報告書作成・レビュー5営業日程度
開始から報告書提出までおおむね1～2週間
対象となる機能・リクエスト数、権限数、診断可能時間帯、検出件数等により期間は変動します。正式な実施期間は事前ヒアリング後にご案内します。
主な診断項目
本サービスでは、IPA「ウェブ健康診断仕様」に定められた次の13項目を診断項目とします。
| 記号 | 診断項目 |
|---|---|
| A | SQLインジェクション |
| B | クロスサイト・スクリプティング（XSS） |
| C | CSRF（クロスサイト・リクエスト・フォージェリ） |
| D | OSコマンド・インジェクション |
| E | ディレクトリ・リスティング |
| F | メールヘッダ・インジェクション |
| G | パス名パラメータの未チェック／ディレクトリ・トラバーサル |
| H | 意図しないリダイレクト |
| I | HTTPヘッダ・インジェクション |
| J | 認証 |
| K | セッション管理の不備 |
| L | 認可制御の不備・欠落 |
| M | クローラへの耐性 |
※13項目をすべての画面・通信に一律に実施するものではありません。対象機能やリクエストの性質を確認し、IPA「ウェブ健康診断仕様」の適用条件に基づいて診断項目を選定します。
診断基準・診断方法
診断基準
独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方」別冊「ウェブ健康診断仕様」（2012年12月）
主な確認方法
- OWASP ZAPによる自動的な一次調査
- Burp Suiteを用いた手動確認
- 診断員による検出結果の分析・判定
対象機能や診断項目に応じてこれらを組み合わせて実施します。
診断結果と成果物
診断後、診断結果報告書をご提出します（原則PDF形式）。
報告書には、主に次の内容を記載します。
- 診断の概要
- 診断対象・対象外・制約事項
- 13項目ごとの診断結果
- 検出された脆弱性
- 検出箇所・発生条件・再現手順
- 想定される影響
- 危険度・対策優先度
- 推奨対策
- 総合判定・総合所見
- 未実施事項の理由・影響
診断結果は、ツール出力をそのまま提出するのではなく、診断員による分析・判定、報告書への取りまとめ、独立した担当者によるレビューを経て確定します。
標準サービスに含まれない主な内容
- サーバ、ネットワーク機器、OS、ミドルウェア等のプラットフォーム診断
- ペネトレーションテスト（侵入テスト）
- スマートフォンアプリ診断
- ソースコードレビュー
- 脆弱なライブラリの網羅的な調査
- DoS・DDoS試験やサービス停止を意図した試験
- パスワード総当たり
- 外部サービス・第三者管理システムへの無断診断
- APIのみを対象とした網羅的なAPI診断など、IPA「ウェブ健康診断仕様」の範囲を超える診断
詳細な対象範囲は事前ヒアリングで確認します。
安全に診断を実施するために
診断では対象システムへ検査用の通信を送信するため、システムへの負荷や予期しない影響が生じる可能性があります。
診断開始前に対象範囲、実施時間帯、テストアカウント、個別に許可が必要な検査、緊急連絡先、中断条件等を確認します。診断中に重大な脆弱性や想定外の影響を確認した場合は、必要以上に検査を拡大せず、所定の手順に従って作業停止・連絡等を行います。
顧客情報・診断データの取扱い
診断に伴い取り扱う顧客情報、診断証跡及び診断結果報告書は、当社が定める顧客情報保護手続に基づいて管理します。
- 業務上必要な者にアクセスを限定します
- 会社管理下の保存領域で管理します
- 保存データに必要な暗号化を行います
- 顧客との受渡しには、情報の機密性に応じた安全な方法を使用します
- 原則として案件終了後6か月間保存し、保存期間満了後は所定の方法で削除します
ご利用にあたっての注意事項
本サービスは、代表的な画面・パラメータを対象とする抜き取り（サンプリング）診断です。
全ページ・全パターンを網羅するものではなく、脆弱性が検出されなかった場合でも、対象システム全体の安全性を保証するものではありません。
また、診断結果は診断実施時点の状態を示すものであり、その後のシステム変更や新たに発見された脆弱性等を含む将来の安全性を保証するものではありません。
診断対象、実施条件、成果物その他の詳細なサービス条件は、**「脆弱性診断サービス サービス仕様書」**に定めます。
料金・お見積り
診断対象となるWebアプリケーションの構成、対象機能、診断対象リクエスト数、認証・権限区分等を確認したうえで個別にお見積りします。
【CTA】診断範囲・お見積りについて相談する →お問い合わせ
「まず自社のWebアプリケーションの状態を確認したい」という段階からでもご相談いただけます。
診断対象や範囲がまだ明確でない場合も、お問い合わせください。
