Service&Product SECURE-AID

Webシステムの脆弱性を狙ったサイバー攻撃は深刻化

悪意ある第三者によるWebシステムの脆弱性を狙ったサイバー攻撃は深刻化しており、不正改ざんや情報漏えいといった被害も多発しています。被害を事前に防ぐためには、定期的なセキュリティ診断と対策の実施が不可欠ですが、継続的な対策実施はシステム担当者の負担になっています。

OSやミドルウェアを最新状態にするだけでは防げないこと

• 暗号化強度の低いSSL接続を受け付ける設定 により、情報を盗み見られる可能性 が。
• Webサーバーの設定ミス で本来見えてはいけないファイルが見えていた。
• アプリケーションに SQLインジェクションの問題 があった！
• Webサーバーの設定ミス で特定のディレクトリ配下に任意のファイルを置ける 状態になっていた。
• phpの設定ミス で、システムの情報が参照し放題 になっていた。

• ・システムは、コンテンツの更新、利用ソフトウエアのアップデートなどで、次々と変化します。
• ・セキュリティ対策はワンショットではなく、継続的に運用として実施していくことが重要です。

脆弱性診断導入時のよくあるお悩み

• 脆弱性診断は、価格が高い
• 診断結果の、自社システムへの影響度合いがわからない
• 脆弱性対策によりユーザサービスに影響が出る。何か次善の策はないか？
• 脆弱性の解消までを依頼できる委託先がない

ご提供内容

脆弱性診断

OS・ミドルウェア・ネットワークの脆弱性を「OpenVAS（Open Vulnerability Assessment System）」を利用し、自動診断を行います。

診断項目

※自動診断ツールが提供する診断手法を用い、プラットフォーム（OS・ミドルウェア・ネットワーク）の脆弱性パターンを診断します。

診断結果レポート　イメージ

脆弱性診断ツールが出力する、診断結果レポート（英語）をご提示します。

診断オプション（WordPressの脆弱性診断）

WordPress に特化した脆弱性診断ツール「WPScan」を利用して、WordPress の脆弱性診断を行います。
WPScanは、Sucuri 社が開発をリードする、WordPressに特化した脆弱性診断ツールです。
WPscanは、一般的なWebアプリケーション診断ツールでは検出できないテーマやプラグインの脆弱性等を検知することができます。
本サービスではWPScanの定期実行により新たな脆弱性をいち早く検出することができます。

脆弱性診断結果の分析

脆弱性診断結果とお客様システム固有の情報を合わせ、技術者がお客様システムに特化した重要度と対応策を提示します。

脆弱性対応の優先度、ユーザへのサービス提供への影響の有無、影響がある場合の次善策などを、ご判断いただけます。

分析に利用する、お客様のシステム情報（例）

分析レポート　イメージ

脆弱性解消の代行

診断・分析結果に基づき、弊社技術者がお客様に代わってシステムの脆弱性の解消を実施いたします。

対応内容

• サーバー

  • OS kernel、ライブラリのアップデート
  • OS kernelパラメータ設定調整
  • ミドルウエアのアップデート
  • 脆弱性を回避するためのミドルウエアの設定調整

• ネットワーク機器

  • ネットワーク機器のファームウエアアップデート
  • 脆弱性を回避するためのネットワーク機器設定調整

※ お客様独自アプリケーション（開発ベンダにより作成されたものを含む）の修正対応は、ご提供外となります。

対応方法・ご利用条件

• 対応作業は、リモートから実施します。
• 対象サーバーやネットワーク機器へのログイン権限(管理者権限含む)を提供いただきます。
• 有償OS(RedHat Enterprise Linux等)の場合は、アップデートパッケージを入手できるベンダーとのサポート契約をお客様にて締結いただいていることが条件となります。
• 本番環境に対して対応を行う前にステージング環境に対して対応・確認を行う場合は、お客様にてステージング環境を準備いただくものとします。