01認可制御の不備（IDOR）
他人のデータが見えてしまう
- 起きること
- リクエストに含まれる ID を書き換えるだけで、ほかのユーザーの注文履歴や個人情報を参照・変更できてしまう脆弱性です。
- 見つけ方
- 手動検査。ユーザーを切り替えながら、機能ごとにリクエストを改ざんして確かめます。画面上は正常に動くため、ツールでは見つけにくい代表例です。
- 対策の方向
- 要求されたデータがそのユーザーのものかを、サーバ側で毎回確認する。
Vulnerability Assessment & Penetration Test
攻撃者より先に、
弱点を見つける。
Matrix Inspect は、セキュリティエンジニアが行う脆弱性診断・ペネトレーションテストのサービスです。Web アプリケーションとサーバから、モバイルアプリ、LLM アプリケーション、ソースコードまで。AI による網羅的な探索と、エンジニアによる深掘りを組み合わせ、見つかった問題の対策までご提案します。
- 情報セキュリティサービス基準 適合サービス
- 「脆弱性診断ガイドライン」に沿った検査
- AWS・Azure・Google Cloud 上のサービスに強い
Services
4 つの診断メニュー
守りたい対象に合わせて選べます。複数の診断を組み合わせることもできます。
WEB & PLATFORM
New · Testing subscriptionスポット診断に加えて、継続的な診断も。専門家と AI 検査ツールをハイブリッドで組み合わせ、アプリケーションのセキュリティを維持し続ける「セキュリティ診断サブスクリプション」。開発を続けるシステムの変化に、診断が追いつきます。→Web・プラットフォーム診断
Web アプリケーション・API と、それを動かすサーバやネットワークを診断。目的と予算に合わせて 3 つのプランから選べます。
- スキャナ＋エンジニアの精査
- 機能単位の手動検査
- ペネトレーションテスト
モバイルアプリ診断
iOS・Android アプリを、アプリ本体・通信・サーバ側 API の 3 層で診断。OWASP MASVS / MASTG に沿って観点を整理しています。
- アプリ本体の静的検査
- Android は実行時の検査も
- 通信・API の手動検査
LLM 脆弱性診断
生成 AI を組み込んだアプリケーションを診断。クラウドの管理型モデルか、自社ホストの OSS モデルかで、検査の深さを最適化します。
- プロンプトインジェクション
- RAG・エージェントの権限
- OWASP Top 10 for LLM
ソースコード診断
AI による入出力フローの解析と、エンジニアのレビューを組み合わせたホワイトボックス診断。修正コード例つきのレポートをお渡しします。
- 実行環境なしで診断
- 誤検出をエンジニアが除外
- 修正コード例を提示
Penetration test
見つけるだけで終わらせない。
攻撃が成立するかまで確かめる。
ペネトレーションテストでは、診断で見つかった脆弱性を手がかりに、セキュリティ対策の回避を試み、複数の脆弱性を組み合わせて実際に脅威を引き起こせるかをエンジニアが検証します。「脆弱性がある」だけでなく、「攻撃者に何をされうるか」が分かります。
例：クロスサイトスクリプティングが見つかった場合
- 01脆弱性を検出
- 02セッション情報を盗む
- 03ユーザーになりすます
- 04情報を参照できるか
アドバンスプラン（脆弱性診断とセット）90万円〜（税別）
Hybrid approach
AI か、人か。
ではなく、両方で診る。
AI は既知の脆弱性パターンを、広く、速く、疲れずに調べられます。一方で、もっともらしい誤検知や、業務ロジックの不備の見落としは避けられません。Matrix Inspect は AI の網羅性とエンジニアの判断を組み合わせた「AI 支援型ヒューマンレビュー」で診断し、最終的な判断と報告の責任はエンジニアが持ちます。
- 01AI
一次探索
対象のクローリングと既知パターンの走査を、広く速く行います。
- 02AI ＋ エンジニア
トリアージ
AI の結果をもとに、エンジニアが深掘りすべき箇所の優先順位を決めます。
- 03エンジニア
深掘り診断
業務ロジックの検証や、複数の脆弱性を組み合わせた攻撃の連鎖を、エンジニアが手で確かめます。
- 04エンジニア
最終保証
誤検知を除き、再現性を確かめたうえで、エンジニアが報告に責任を持ちます。
AIAI に任せること
- 既知の脆弱性パターンを網羅的・高速に検出
- 広い範囲を低コストで調べる
- 疲れずに根気強く検証を続ける
ENGINEERエンジニアが担うこと
- 認可・決済・認証など業務ロジックの不備
- 脆弱性を組み合わせた攻撃の連鎖
- 誤検知の排除と再現性の確認
- 診断結果への説明責任
この考え方は、ブログ記事「LLM単体のペネトレーションテストは「十分」なのか？」で詳しく紹介しています。記事を読む →
Why Matrix Inspect
Matrix Inspect が選ばれる 5 つの理由
- 01
ATTACKER'S EYE × AI
攻撃者の目を持つエンジニアと、AI のハイブリッド
AI で広く速く探索し、業務ロジックの不備や脆弱性の組み合わせといった、ツールでは届かない部分をエンジニアが深掘りします。最終的な判断と報告の責任はエンジニアが持ちます。
- ペネトレーションテスト経験 5 年以上のエンジニア在籍
- セキュリティ資格保持者が検査
- AI 支援型ヒューマンレビュー
- 02
DEFENDER'S KNOW-HOW
守る側のサービスを作っている会社が診断する
クラスメソッドセキュリティは、パブリッククラウド上で Web を守るセキュリティサービスを自社で開発・提供しています。守る側の知見があるから、AWS・Azure・Google Cloud 上の Web サービスの弱点と直し方が分かります。
- AWS・Azure・Google Cloud
- AWS アカウントの設定検査（CIS ベンチマーク）
- 03
ONE PARTNER
Web から AI まで、まとめて任せられる
Web・サーバに加えて、モバイルアプリ、LLM を組み込んだアプリケーション、ソースコードまで、1 社で診断できます。新しく増えた攻撃面も、同じ品質基準と同じ形式の報告書で確認できます。
- Web・プラットフォーム
- iOS・Android
- LLM（クラウド・自社ホスト）
- ソースコード
- 04
QUALITY BY DESIGN
品質を、仕組みで担保する
ガイドラインに沿った検査項目で網羅し、ツールの誤検知はエンジニアが除きます。報告書は品質管理責任者が承認したものだけを提出し、作成者が自分で承認することはできません。
- 「脆弱性診断ガイドライン」準拠
- 情報セキュリティサービス基準 登録
- 承認後のみ提出
- 05
UNTIL IT'S FIXED
見つけて終わりにせず、直るまで伴走する
重大な脆弱性は診断の途中でも先にお知らせし、報告書にはお客様の環境に合わせた対策を書きます。報告会で解説し、改修後は再検査で修正を確かめます。
- 重大な脆弱性は先にお知らせ
- 対策つき報告書
- オンライン報告会
- 再検査（報告書提出から 2 か月以内）
Registered service
情報セキュリティサービス基準 適合サービスリスト 登録
- 登録番号
- 024-0015-20
- サービス区分
- 脆弱性診断サービス
- サービス名
- Matrix Inspect
- 有効期限
- 2028年9月22日
経済産業省の「情報セキュリティサービス基準」に適合するサービスとして、審査登録機関の審査を経て登録されています。登録情報を見る
Common findings
検査でよく見つかる脆弱性
実際の診断でよく見つかる脆弱性です。画面の見た目は正常なまま潜んでいるものが多く、ツールだけでは見落としやすかったり、影響の大きさを判断しにくかったりします。
02クロスサイトスクリプティング（XSS）
利用者のブラウザで不正なスクリプトが動く
- 起きること
- 入力した文字列がそのまま画面に表示されることで、利用者のブラウザで意図しないスクリプトが実行される脆弱性です。セッション情報を盗まれ、なりすましにつながることがあります。
- 見つけ方
- 自動検査と手動検査。ペネトレーションテストでは、なりすましまで成立するかを確かめます。
- 対策の方向
- 出力時のエスケープを徹底し、Cookie の属性や Content Security Policy で被害を抑える。
そのほかによく見つかるもの
セッション管理の不備
ログアウト後もセッションが有効なまま、Cookie の属性の不足、推測しやすいセッション ID など。なりすましの入口になります。
業務ロジックの不備
手順を飛ばす、数量や金額を書き換えるなど、想定外の操作で不正な処理が成立してしまうもの。機能の意図を理解したエンジニアが確かめます。
情報の露出
詳細なエラーメッセージ、バックアップファイルや設定ファイルの公開、ディレクトリの一覧表示など、攻撃の手がかりになる情報です。
古いソフトウェア・通信設定
既知の脆弱性があるミドルウェアや、古い TLS が有効なままの設定など。プラットフォーム診断で確認します。
アプリの連携機能と API の不備
外部から呼び出せてしまうアプリの機能や、アプリの裏で動く API の認可の不備。モバイル診断で最も見つかりやすい領域です。
機密情報のハードコード
API キーや秘密鍵、パスワードがアプリやソースコードに埋め込まれたままのもの。アプリを解析されると取り出されてしまいます。
Self-check
まずは、自社の Web アプリを
チェックしてみませんか
認証・認可・公開設定・防御と監視・データの管理など、Web アプリケーションを守るための基本的な対策を 10 の観点で確認できます。対応できていない項目から、必要な診断が分かります。
- 01認証
- 02認可・アクセス制御
- 03セッション
- 04入力と出力
- 05公開設定・情報の露出
- 06ソフトウェアと構成
- 07アプリとソースコード
- 08防御と監視
- 09データの管理
- 10継続的な確認
Report
経営層にも、開発者にも
届く報告書
報告書は、経営層・管理者向けの要約から、開発者がそのまま対応できる脆弱性ごとの詳細まで、読む人に合わせた章立てで構成しています。
- 01
エグゼクティブサマリー
検出状況と深刻度の内訳、優先して対応すべき項目を、経営層・管理者向けに要約します。
- 02
診断の概要
対象範囲、検査した項目、対象環境（ドメイン・URL・IP）と実施期間を記載します。
- 03
全検査項目の結果
脆弱性の有無にかかわらず、検査したすべての項目の判定と深刻度を一覧で示します。
- 04
脆弱性の詳細
攻撃の詳細と再現手順、画面などの証跡、想定される影響、推奨する対策を脆弱性ごとに記載します。
深刻度は 5 段階で評価
- 深刻Score 4直接的な脅威となる可能性が高く、データへの影響が大きい、または復旧が困難
- 重要Score 3直接的な脅威となる可能性が高いが、データへの影響が小さい、または復旧が容易
- 注意Score 2単体では直接的な脅威になりにくい
- 改善推奨Score 1脆弱性ではないが、改善を推奨する
- 脆弱性なしScore 0診断で脆弱性は見つからなかった
承認されたものだけを提出
報告書は品質管理責任者のレビューと承認を経てから提出します。作成者が自分で承認することはできず、レビューに回したあとは内容を書き換えられない仕組みです。
確認した範囲がすべて分かる
脆弱性が見つかった項目だけでなく、検査したすべての項目の結果を記載します。どこまで確認したかが明確なので、監査や社内への説明にも使えます。
重大な脆弱性は先にお知らせ
診断の途中でも、重大な脆弱性は 1 件単位の暫定レポートとして先にお渡しできます。報告書の完成を待たずに対策に取りかかれます。
修正の確認に絞った再検査報告書
再検査では、指摘した脆弱性ごとに修正が有効かを判定し、根拠となる証跡とあわせて報告します。初回と同じ分厚い報告書にはしません。
対策の根拠まで示す
脆弱性ごとに、推奨する対策とあわせて参考となる資料やサイトを記載します。開発チームへの依頼や社内での説明に、そのまま裏付けとして使えます。
日本語・英語に対応
報告書は日本語と英語で作成できます。海外の拠点や開発委託先との共有にもそのまま使えます。
Pricing
料金の目安
対象の規模や機能数に合わせてお見積りします。
Web・プラットフォーム診断ベーシックプラン30万円〜（税別）→ペネトレーションテストアドバンスプラン（脆弱性診断とセット）90万円〜（税別）→セキュリティ診断サブスクリプション専門家 × AI 検査ツールのハイブリッドお見積り→AWS アカウント検査（オプション）Web・プラットフォーム診断に追加10万円〜（税別）→ソースコード診断コード 3 万行まで60万円〜（税別）→モバイルアプリ診断OS・機能数・ご提供ビルドに応じてお見積り→LLM 脆弱性診断提供形態と構成に応じてお見積り→
表示価格はすべて税別です。対象の規模・機能数により変動します。
Process
ご利用の流れ
BEFOREご契約前
- 01
お問い合わせ
フォームからご連絡ください。2 営業日以内に担当者からご連絡します。
- 02
ヒアリング
ヒアリングシートで、対象システムと現在の状況をお伺いします。
- 03
お見積り
診断範囲を確定し、電子見積をお出しします。
- 04
ご契約
電子契約で締結します。
AFTERご契約後
- 05
事前調整
診断元 IP の許可、検査用アカウントの準備などをお願いします。
- 06
診断の実施
所要日数は対象の規模とプランによって変わります。
- 07
報告書の提出
診断結果をもとに、対策案を含む報告書を提出します。
- 08
報告会
ご希望に応じて、エンジニアが報告書の内容をオンラインで解説します。
FAQ
よくある質問
見つかった脆弱性への対応方法は報告書に書かれますか？
はい。脆弱性の詳細とあわせて対応方法を記載します。できるだけお客様のシステム環境に合った対策をご提案します。内容にご不明な点があれば、メールやお打ち合わせでご説明します。
診断の途中で重大な脆弱性が見つかったら？
報告書の完成を待たずにお知らせします。重大な脆弱性は 1 件単位の暫定レポートとして先にお渡しできるので、診断と並行して対策に取りかかれます。
報告会はしてもらえますか？
オンラインで開催できます。関係者の方を集めて会議形式で説明を受けたい場合などにご利用ください。
どんな基準で検査していますか？
Web・プラットフォーム診断は「脆弱性診断ガイドライン」（ISOG-J・OWASP Japan）に沿った検査メニューで提供しています。モバイルアプリは OWASP MASVS / MASTG、LLM アプリケーションは OWASP Top 10 for LLM Applications などを基準にしています。
AI だけの診断と何が違いますか？
AI 単体の診断は、リリースごとの回帰確認や広い範囲のスクリーニングに向いています。一方、決済・認証など業務ロジックが複雑な機能、規制への対応が必要な場合、診断結果を重要な判断に使う場合には、エンジニアによる深掘りと最終確認が欠かせません。Matrix Inspect は AI の網羅性を活かしつつ、最終的な判断と報告はエンジニアが行います。
どんなツールを使いますか？
Web アプリケーションの検査では Burp Suite、プラットフォームの検査では OpenVAS・Nmap・Nuclei と自社開発のスキャナを使います。ツールの結果はそのまま出さず、エンジニアが精査します。
他社との違いは何ですか？
パブリッククラウド上で Web セキュリティのサービスを自社開発しており、AWS・Azure・Google Cloud 上の Web サービスの検査を得意としています。Web 診断のオプションで AWS アカウントの設定まで検査することもできます。
見積りのために何を用意すればよいですか？
Web 診断では、サイトを操作した記録（HAR ファイル）のご提供をおすすめしています。ほかに、こちらでのクローリングや、画面一覧・API 仕様書からの見積りもできます。クローリングと HAR ファイルの解析は無償です。
Company
運営会社
クラスメソッドグループのセキュリティ専門企業として、セキュリティ運用のクラウドサービスの開発と、専門家による脆弱性診断・ペネトレーションテストを提供しています。
- 商号
- クラスメソッドセキュリティ株式会社（Classmethod Security, Inc.）
- 設立
- 2019 年 3 月 15 日
- 本社
- 東京都千代田区二番町 9 番 3 号 THE BASE 麹町
- 研究所
- 石川県能美市旭台 2 丁目 13 番地 いしかわクリエイトラボ