外部攻撃面の把握
Level 1は、外部攻撃面を独立した立場から評価します。合意したドメイン、公開サブドメイン、証明書、ウェブサービスを確認し、外部から見えるシステムと技術的な依存関係を文書化します。
検査領域
外部攻撃面外部から見えるシステムの全体像を整理します。詳細を見る
DNS・TLS・メール設定とメール認証を確認します。詳細を見る
DNS・TLS・メールの安全性
合意したDNS、証明書、TLSの設定と、SPF・DKIM・DMARCによるメール認証を確認します。CAA、MTA-STS、TLS-RPTも範囲に追加できます。DKIMの確認には、既知または検証可能なセレクターを使用します。
ウェブ設定公開ウェブサービスで確認できる問題を評価します。詳細を見る
ウェブ設定と外部への露出の確認
外部から確認できるウェブ設定、HTTPヘッダー、利用技術について、注意すべき点を調べます。報告書では、設定上の兆候と確認済みの脆弱性を区別し、既存の公開情報と、影響を抑えたDNS・TLS・HTTPへの直接リクエストを分けて示します。
リスクと対応策どの検出事項を先に対応すべきかを明確にします。詳細を見る
リスク評価と対応計画
どの検出事項を先に対応すべきか、その理由とともに示します。対象サービス、到達可能性、得られた証拠、業務上の状況を踏まえて優先順位を付け、追加検査や修正のための具体策を提案します。
成果物
独立した外部評価と、検出事項および優先順位付きの対応計画を記録した報告書。
検査範囲と進め方
アプリケーションにログインしたり、脆弱性を悪用するペイロードを使用したりせず、外部から検査します。
経営層向けの要約と技術的な証拠
分かりやすい要約と技術的な証拠を含む、ドイツ語または英語の報告書をお届けします。対象システム、観測結果、情報源、検査日時、実際の検査範囲、優先順位付きの対応策を記載します。
さらに詳しい検査へ
お問い合わせフォームに概要をお知らせください。対象システム、範囲、日程、報告書を書面で合意します。Level 1はアプリケーションへのログイン、脆弱性を悪用するペイロード、秘匿した攻撃を行わず、システムを外部から検査します。悪用可能性、内部の権限、テナント間の分離は、別途合意するLevel 2の対象です。
どのシステムを検査したいですか？
対象システム、検査範囲、日程を書面で合意します。