システムとアプリケーションのセキュリティ検査。
外部から見える攻撃面を把握し、リスクと対応策の優先順位を明確にします。
お問い合わせ合意した範囲のドメイン、外部から確認できるサブドメイン、証明書、公開ウェブサービス、技術的な依存関係を調べます。
DNS、TLS、HTTPヘッダー、メール認証を確認します。設定に関する観測結果には、情報源と検査日時を添えます。
資産一覧、根拠付きの検出事項、優先順位、実行可能な対応計画を提供します。観測された兆候と確認済みの脆弱性を区別します。
悪用可能性を検証し、攻撃経路と防御策の有効性を調べます。
お問い合わせアプリケーション、API、許可されたインフラを対象に、脆弱性、認証、ロール、テナント、業務ロジックを評価します。
定めた攻撃手順とシナリオを用います。BASとセキュリティ対策の検証では、観測可能な証拠に基づいて合意した防御策を調べます。
検証済みの検出事項と攻撃経路を示します。該当する場合はCVSS、EPSS、KEVも参照し、到達可能性と業務上の重要度を併せて評価します。
新たなリスクを捉え、変化と対応状況を追跡します。
お問い合わせLevel 1の基準となる状態と、合意したLevel 2の検出事項を参照して定期的に検査します。新規、変化したもの、再発したものを分けて報告します。
定めた情報源から、企業ドメインと合意したIDに関する露出の兆候を確認します。一致する情報は、対象との関連、鮮度、必要な対応を評価します。
関連する脆弱性情報と優先順位の変化を、把握済みの資産に対応付けます。情報配信に掲載されたというだけでは、実際の露出を確認したことにはなりません。
毎週、毎月、四半期、半年、毎年など、合意した間隔で実施します。報告、通知、再検証は案件に合わせて定めます。
3つのサービスレベル。修正は別途承ります。検査範囲と日程は個別にご相談いただけます。
対象システム、検査の境界、目的を書面で合意します。
観測内容を評価し、不確実な点を記録します。
修正の優先順位を付け、再検証について合意します。
