安全なWebシステムを実現するWebアプリケーション診断

1. お悩み・課題

   入札条件で“第三者によるセキュリティ診断”が求められている

   自社開発やベンダー任せのチェックだけでは要件を満たせず、客観的な診断レポートの提出を求められた。

   情報漏洩や改ざんリスクを未然に防ぎたい

   フォームやログイン機能、管理画面などに対して攻撃される可能性を想定できていないため、公開前に問題を洗い出し、安心して運用をスタートさせたい。

   

2. 設計・施策

   OWASP Top 10を基準とした脆弱性のチェック

   世界的に標準化されたセキュリティリスク（例：認証の不備、インジェクション、アクセス制御の不備など）をもとに、対象システムに潜む脆弱性を洗い出します。

   フォームやログイン機能の安全性

   入力欄からの不正操作、ブルートフォース攻撃、セッション乗っ取りなど、ユーザーの個人情報を狙った攻撃への耐性を確認します。

   

3. データの保護と健全性

   管理画面や非公開領域の保護状態

   意図しないディレクトリや設定ファイルの露出、アクセス制御の欠如など、外部からアクセス可能な危険性がないかを検証します。

   ファイルアップロード機能や外部API連携に対する不正アクセス・データ改ざんリスクの確認

   画像・書類のアップロード機能や外部連携APIに対して、不正ファイルの混入や認可漏れがないか確認します。

   

4. 運用上のリスクヘッジ

   システム構成やサーバー設定に起因するリスク

   不要なポートの開放、エラーメッセージの過剰表示、ソフトウェアのバージョン露出など、インフラ側の設定ミスをチェックします。

   検出された脆弱性の深刻度と優先度

   問題点ごとにCVSS（共通脆弱性評価システム）を参考に深刻度を分類し、優先して対応すべき脆弱性を明確化します。