サイト・プラットフォーム診断とは
「 サイト・プラットフォーム診断 」は、診断対象となるサーバやネットワーク機器に対して、不正アクセスの観点から侵入手法を考察・試行し、安全性を徹底的に調査する診断サービスです。
お客様は、サイト・プラットフォーム診断の結果に基づいて対策を施すことにより、潜在的な脆弱性を突いた攻撃による侵入、改ざん、情報漏えいなどのインシデントの発生を未然に防ぐことができます。
こんなお客様に最適です。
- サーバ構築に合わせて、セキュリティ対策を実施したい
- セキュリティポリシーに基づいて適切に運用されているか、遵守状況を確認したい
- コストを抑えつつ、定期的にセキュリティ対策レベルを確認したい
よりコストを抑えて脆弱性診断を実施したい方に向けて、ご担当者様ご自身で専用Webポータル上で診断を実施していただく
「プラットフォーム診断セルフ」もご用意しております。あわせてご検討ください。
サイト・プラットフォーム診断の４つの特長
1
様々な用途に活用可能な緻密な診断
- セキュリティ対策のための現状把握
- サーバ構築後のセキュリティ強度の確認
- リスク分析
- セキュリティポリシーに基づいた運用状況や遵守状況の確認
- システム監査
- アクセス制御されているリソースに不正にアクセスすることが可能かの確認
2
豊富な導入実績
セキュリティ診断サービスについては約6,950団体(※)の豊富な導入実績があります。
蓄積された過去の膨大な診断結果は統計データ化しており、お客様の診断結果を評価・分析する際に活用しています。 ※2015年3月末現在累計
3
最新のセキュリティ情報に基づいた診断
株式会社ラックが運営する24時間365日リアルタイムでセキュリティ監視を行う「JSOC」、最新の脅威や動向を研究する機関である「サイバー・グリッド研究所」、セキュリティ事故の緊急対応を行う「サイバー救急センター」から得た最新の攻撃手法や脆弱性情報を反映し、診断を実施します。
4
セキュリティ専門家の技術と、
独自開発ツールを駆使した多様な診断手法
独自に開発した診断ツールと市販の脆弱性診断ツールに熟練したセキュリティ専門家の技術と経験を駆使した高度な診断手法を組み合わせ、多様な診断手法を試みます。熟練した技術者の目が、市販の脆弱性診断ツールの誤検知なども見逃しません。
診断実施内容
診断対象
サイト・プラットフォーム診断の対象となるのは、主に以下のようなシステム及び機器です。
- Web、Mailサーバ、FWなどの公開システム
- ファイル共有サーバなどの社内システム
- 開発・運用ベンダのみがアクセス可能なステージングサーバ
※上記は一例ですので、対象機器についてはお気軽にご相談ください。
サービス概要
サイト・プラットフォーム診断には、インターネット経由で 診断する「リモート診断」と、内部セグメントから診断する「オンサイト診断」の2種類があります。
| リモート診断 | インターネットを経由してお客様の機器を診断します。公開セグメント上のサーバに対する脆弱性、ファイアウォールやルータ等のアクセス制限（ルール設定）の適切性などを確認します。 |
|---|---|
| オンサイト診断 | セキュリティ専門家がお客様のオフィスやデータセンタを訪問し、お客様の内部ネットワークなどから診断します。内部ネットワークに接続された機器の脆弱性、ファイアウォール等によるアクセス制御がない状態（単体）でのサーバなどの脆弱性を確認します。 |
診断メニュー
ツールで素早く問題点をチェックするエクスプレス診断、ツールの誤検出、検出漏れをフォローし、しっかり脆弱性を検出するスタンダード診断、脆弱性の検出に止まらず、実際に侵入を行い実害まで診断するアドバンスト診断があります。
| メニュー | エクスプレス | スタンダード | アドバンスト |
|---|---|---|---|
| 診断イメージ | ツールを使い、素早く問題の有無をチェックします。 | ツールと手動を組み合わせ、問題の有無を徹底的にチェックします。 | ツールと手動を組み合わせ、実際にネットワークへの侵入を試みます。被害がどこまで拡大するのか、深く調べます。 |
| 診断期間 | １日間 | 個別見積り | 個別見積り |
| 結果速報 | - | ○ | ○ |
| 報告書 | ○ | ○ | ○ |
| 報告会 | △ | △ | ○ |
| 診断後のサポート | 報告書提出から３ヶ月間、お問い合わせに回答させていただきます。 | ||
| 診断実施項目 | 内容 | エクスプレス | スタンダード | アドバンスト |
|---|---|---|---|---|
| ポートスキャン検査（TCP/UDP） | 診断対象機器におけるOpenポートおよび提供サービスを確認 | ○ | ○ | ○ |
| 診断対象ポート | 診断を実施するポートの範囲 | TCP:主要ポート UDP:主要ポート |
TCP:1～1023＋主要ポート UDP:1～1023＋主要ポート |
TCP:1～65535 UDP:1～1023＋主要ポート |
| 提供サービスの情報取得および挙動確認 | ポートスキャンによって提供が確認されたサービスの情報取得や挙動確認を実施（スタンダード・アドバンストでは、コマンドの送り込み等も実施） | ○ | ○ | ○ |
| 市販の脆弱性診断ツールによる診断 | 市販の脆弱性診断製品を用いて、アプリケーションのバグや設定ミスによる脆弱性を検出。スタンダード・アドバンストでは、検出された脆弱性についてハンドオペレーションによる精査を実施 | ○ | ○ | ○ |
| 独自の脆弱性診断 ツールによる診断 | 独自に開発したツールを用いて、MailサーバおよびWebサーバに対してより詳細な診断を実施。検出された脆弱性についてはハンドオペレーションによる精査を実施 | × | ○ 400項目程度 |
○ 20,000項目程度 |
| 脆弱点およびアクセス可能ポートに対する侵入診断 | 独自に培ったノウハウや最新の情報を取り入れ、手動で徹底的に脆弱性を検出。診断ツールでは検出できない脆弱性の診断や、検出した脆弱性を組み合わせた複合的な脆弱性を診断 | × | × | ○ |
サービス提供の流れ
-
STEP1
問診票(お客様より)
-
STEP2
ヒアリング
お客様からの要望、コストに応じて最適な診断範囲を決定します。
-
STEP3
診断
診断対象となるウェブページやサーバ、ネットワーク機器の安全性を確認します。
-
STEP4
分析
診断結果をもとに脆弱性を洗い出しセキュリティリスクを分析します。
-
STEP5
診断報告書(お客様へ)
-
STEP6
報告会
システムの問題点が明確にわかります。
既存の脆弱性の影響、対策の説明、対策の優先順位付けなどを行います。 -
STEP7
改善実施へのお手伝い
報告書提出から３ヵ月間はお客様のお問い合わせに対応します。
診断結果報告書イメージ
診断報告書には、診断結果の総評、評価ランク（5段階）をはじめ、診断結果の詳細・発見された脆弱性およびその確認方法・セキュリティリスクレベル（緊急度）・推奨する対策などを記載し、お客様が改善実施すべき事項を明確にご提示いたします。 また、業種別の統計情報も掲載しますので、同業他社に比べて自社がどの程度のレベルなのかということなども知ることができます。
その他の情報漏えい対策
当社では万一『 情報漏えい 』が起きてしまった時のための対策製品もご用意しております。
情報漏えい対策製品 PacketBlackHole
社内で発生した通信を全て取得・解析するアプライアンス製品です。
PacketBlackHoleで通信を取得しておくことで、万一サイバー攻撃に遭った際の原因や漏えいした情報の特定にご活用頂けます。