Web脆弱性診断

脆弱性診断によるリスクの検出から、必要な対策のご提案、対策後の再評価までサポート。

1. 脆弱性診断の概要

(1) 脆弱性診断の必要性

インターネットでサービスを提供している企業のWebサイトや
サーバの脆弱性を狙った攻撃や情報流出等のセキュリティ事故が後を絶ちません。

Webアプリケーションの設計・開発の不備による企業のWebサイトや
サーバの脆弱性を放置した場合、機密情報や個人情報の流出や
企業の継続にかかわる重大な問題へ発展する可能性があります。

Webアプリケーションのセキュリティ診断と診断結果を基にした対策を実施する事で、
セキュリティ事故の発生を未然に防ぎ、影響を最小限に抑える事ができます。


(2) 脆弱性診断の流れ

攻撃者の視点から様々な疑似攻撃を考察・試行する事で、
 Webアプリケーションの安全性を診断。
 (診断範囲、診断項目はお客様とご相談の上決定いたします。)

各診断項目について、診断の結果検出された脆弱性や危険度、
 必要な対策等をご報告。

発見された脆弱性に対し、施された対策が有効であるか再評価。


① Webアプリケーション診断の概要

ファイアーフォールやセキュリティパッチを適用しただけでは防げない
問題点を調査。

 ・Webサイトからのデータベースへの侵入(SQLインジェクション)
 ・コンテンツ書き換え(クロスサイトスクリプティング等)
 ・Gumbler感染
 ・正規ユーザへのなりすまし 等。

② ネットワーク診断の概要

ルータやファイアーウォールのフィルタリングルール設定状況や
サーバのセキュリティパッチ適用状況、不正プログラムがインストール
されていないか等の調査。

 ・既知の脆弱性を利用した攻撃
 ・脆弱なパスワード設定によるサーバの設定変更
 ・ウィルス感染の有無 等。

  ※1:機密保持契約やアクセス許可等の必要な契約を結んだ上で
     実施させて頂きます。

2. 脆弱性診断項目の詳細

アカウント関連の脆弱性監査

診断対象 診断の眼目・目的・狙い 実施内容
アカウント 脆弱なパスワード設定 ユーザIDおよびパスワードの複雑度合の監査。
管理者のデフォルトパスワードのチェック。
パスワードのないアカウントや期限切れのアカウント等、 保護されていないアカウント等有無の検査。
リモートアクセス SMB/アカウント情報収集
SMB/ファイル共有情報収集
SMB/NetBIOS情報収集
SMB/簡易パスワード推測
SSHサービス脆弱性調査
SSHサービス脆弱性調査
SUNRPC/RPCサービス脆弱性調査
SMB/CIFSサービス脆弱性調査
リモートアクセスエージェントのセキュリティホールの監査。 他にSecureShell サーバの脆弱性を監査。
NetBIOS アカウントポリシーの調査 NETBIOSプロトコルの脆弱性を検出する監査。
リモートのWindows ファイル共有内の
パーミッション問題を検出する監査。

サーバ関連の脆弱性監査

診断対象 診断の眼目・目的・狙い 実施内容
サーバ証明や暗号化 不適切なSSL証明書の利用 サーバ認証やサーバ証明書による暗号化の関する脆弱性の監査。
認証設定の不備やSSL証明書内ホスト名のミスマッチ
(SSL証明書の妥当性)。 認証期限切れ等。
Web サーバ HTTP(S)/Webスキャン
HTTP(S)/WebDAV、FrontPage
HTTP(S)/アプリケーションマッピング
HTTP(S)/Proxy調査
HTTP(S)サービス脆弱性調査
Webサーバ、CGI、HTTPプロトコルに関連する脆弱性の監査。
FTPサーバ FTP/匿名接続
FTPサービス脆弱性調査
FTPサーバとファイル転送プロトコルに関連する脆弱性を検査。
LDAPサーバ LDAP (Lightweight Directory AccessProtocol) に関連する監査。 脆弱性(セキュリティホール)が存在しているかを検査。
メールサーバ SMTP/不正中継調査
SMTP/EXPN、VRFY調査
SMTPサービス脆弱性調査
POPサービス脆弱性調査
SMTP、IMAP、POP2、POP3やその他インターネットメールサーバの
セキュリティ脆弱性を検出する監査。
サーバコントロール 脆弱なrpc.statdサーバの存在を調査 サーバコントロールサービスに関連する脆弱性の監査。
サーバコントロールサービスとは、多くのソフトウェアパッケージで見られる、 サービスをリモートでコントロール、監視する仕組みの監査。
データベース データベースに関連する脆弱性の監査。 OracleやMicrosoft SQL Server、IBM DB2、Sybaseといった 主なデータベースの脆弱性の有無やパッチの適用状況、 アカウント/パスワード設定や権限、ロールの設定状況、 監査設定といったさまざまなセキュリティ項目を実施。

ソフトウェア・サービス関連の脆弱性監査

項目 診断の眼目・目的・狙い 実施内容
CGIスクリプト 脆弱性の知られている
CGIスクリプトの存在
CGI とスクリプトに関する脆弱性の監査。
/cgi/phf cgiスクリプトのような、セキュリティ脆弱性を持つ CGIスクリプトが存在するか否かを監査。
パッケージ ネットワーク/OS推測 サード・ベンダーやグループから提供されている、 特定のディストリビューションのパッケージに関する監査。
サービスパック OSやアプリケーションソフトウェアの
既知の脆弱性
パッチ(アップデート)の未適用。古いパッケージソフトの利用の監査。
バナー 稼動中のサービスからの情報取得
エラーメッセージによる情報漏洩
ソフトウェアバージョン(バナー情報)を脆弱性のあるものと比較。
不要と思われる
サービスの稼動
TELNETサービス脆弱性調査
NTPサービス脆弱性調査
バックドア検出等

ネットワーク関連の脆弱性監査

診断対象 診断の眼目・目的・狙い 実施内容
DNS DNSゾーン転送の可否
DNS再帰的問い合わせの可否
DNSダイナミックアップデートの可否
Domain Name Serviceプロトコルに関する脆弱性チェックや監査。
DNSサーバが脆弱性を持っている場合、外部から偽の情報が書き込まれ、 悪意のあるサイトへ誘導される場合や、メールが悪意のあるサイトに送信させる攻撃。
DoS攻撃脆弱性 DoS攻撃に対する耐性検査。 「Slowloris」「Slow Read DoS」攻撃などによる監査。

Page Top