AWS 環境を、設定から中身まで
まるごと診断する
AWS アカウント全体の設定と、EC2・Lambda・コンテナイメージの中身を、295 の検査項目で診断します。インターネットからの到達性と影響範囲から直す順番を付け、エンジニアが確認した報告書でお届けします。
料金の目安お見積り
Why
こんな悩みはありませんか
一部しか見られていない
時間の制約から、代表的なリソースやリージョンに絞った点検になっていて、見ていない場所の弱点が残っている。
中身までは見ていない
セキュリティグループや暗号化の設定は確かめても、EC2 のディスク、Lambda のコード、コンテナイメージの中身までは手が回らない。
何から直せばよいか分からない
数百件の指摘が並んでも、どれがインターネットから狙われやすく影響が大きいのか分からず、手を付けられない。
Two assessments
2 つの診断
設定診断
基本
AWS アカウントで使われているリソースを自動で見つけ、その設定を検査します。
- 検査項目282 項目
- 対象約 60 の AWS サービス・有効なすべてのリージョン
- 主な観点公開設定・暗号化・権限・ログと監視・ネットワーク・認証・平文の秘密情報
ワークロード診断
追加
設定だけでは分からない、ディスク・パッケージ・イメージの中に潜む問題を検査します。
- 検査項目13 項目
- 対象EC2 のディスク、Lambda のパッケージとレイヤー、ECR のコンテナイメージ
- 主な観点依存ライブラリと OS の脆弱性・コードの脆弱性・秘密情報・マルウェア
ワークロード診断は、設定診断に追加してご依頼いただけます。報告書は診断ごとにお渡しします。
Features
サービスの特長
295 の検査項目
CIS AWS Foundations Benchmark v7.0.0 の推奨 59 項目に加え、実際の侵害につながる設定と中身の問題まで検査します。
すべてのリソースを
対象を抜き出すのではなく、有効なすべてのリージョンのリソースを機械的に検査します。
直す順番が分かる
深刻度・インターネットからの到達性・影響範囲・修正の手間から、対応の優先順位を付けます。
エンジニアが確認
検査結果をエンジニアが確認したうえで、報告書をお渡しします。内容のご不明点もご説明します。
Test items
設定診断の検査項目（282 項目）
9 つのカテゴリで、AWS 環境のセキュリティを支える設定を一通り確かめます。
データベース（43 項目）
RDS・Aurora・DynamoDB・Redshift・OpenSearch・ElastiCache の公開・暗号化・認証
認証・API（43 項目）
Cognito・API Gateway・AppSync・Lambda 関数 URL の認証と認可、Lambda の中の秘密情報・マルウェア
ネットワーク（41 項目）
セキュリティグループ・NACL・VPC・CloudFront・ELB・WAF・DNS・IMDSv2
コンピュート・IaC（37 項目）
EC2・ECS・EKS・Lambda・CloudFormation の設定、平文の秘密情報、既知の脆弱性、サポート期限
ストレージ（34 項目）
S3・EBS・EFS・スナップショット・AMI・バックアップの公開と暗号化
アカウント・IAM（33 項目）
ルートユーザー・MFA・アクセスキー・権限昇格の経路・信頼ポリシー
ログ管理（23 項目）
CloudTrail・AWS Config・各サービスのアクセスログ・監査ログ
監視・アラート（21 項目）
GuardDuty・Security Hub・Inspector・CIS の監視アラーム
ガバナンス（7 項目）
AWS Organizations・SCP・組織トレイル・本番と開発の環境分離（組織全体の設定は管理アカウントで検査）
Beyond checklists
チェックリストだけでは分からないリスクも
設定の一つひとつに加えて、リソースのつながりから、実際に狙われる経路と被害の広がりを判定します。
インターネットからの到達性
セキュリティグループ・ロードバランサー・CloudFront・公開設定をたどり、リソースにインターネットから直接届くかを判定します。
影響範囲
不備のあるリソースが乗っ取られたとき、ロールの権限で何に手が届くかを数え、優先順位に反映します。
権限昇格の経路
IAM の権限の組み合わせから、管理者権限へ昇格できる経路や、条件なしで外部から引き受けられるロールを見つけます。
平文の秘密情報
ユーザーデータ・環境変数・テンプレート・コードに書かれた鍵やパスワードを探します。値は伏せ字で報告します。
Kubernetes の中
EKS では、閲覧用のアクセスエントリを付与いただくと、特権 Pod・root 実行・NetworkPolicy・イメージも検査します。
設計レベルの懸念
構成全体を AI が読み、CDN や WAF を通らない公開経路などの設計上の懸念を、エンジニアの確認を経て参考所見として示します。
Workload assessment
ワークロード診断の検査項目（13 項目）
EC2 のディスク、Lambda のパッケージとレイヤー、ECR のコンテナイメージ（ECS・EKS で使っているものを含む）を、5 つの観点で検査します。
依存ライブラリの脆弱性
部品表（SBOM）を作って既知の脆弱性と照合。悪用が確認された脆弱性（CISA KEV）は深刻度を引き上げ（Lambda・イメージ）
OS パッケージ・ベース OS
OS パッケージの既知の脆弱性と、ベース OS のサポート期限（イメージ）
コードの脆弱性
自社のコードに静的解析をかけ、悪用できるかを一件ずつ確認（Lambda・イメージ）
ファイル内の秘密情報
平文のアクセスキー・パスワード・秘密鍵。値は伏せ字で報告（EC2 ディスク・イメージ）
マルウェア
ウイルス対策エンジンと当社の検知ルール（EC2 ディスク・イメージ）
EC2 はお客様のアカウントで作成したスナップショットを当社の検査環境（AWS 東京リージョン）へ共有し、読み取り専用で検査します。取得したデータとスナップショットは検査後に削除し、検査結果だけを保存します。診断の開始時に、取得・保存する内容への同意をいただきます。
Process
診断の流れ
- 01
ロールの作成
当社が提供する CloudFormation テンプレートで、診断用の IAM ロールを作成していただきます。外部 ID は当社からお知らせします。
- 02
設定診断
作成いただいたロールで設定を読み取り、検査します。
- 03
ワークロード診断追加
ご依頼いただいた場合に、EC2・Lambda・コンテナイメージの中身を検査します。
- 04
エンジニアの確認
検査結果と優先順位をエンジニアが確認し、報告書にまとめます。
- 05
報告書の納品
報告書（PDF）をお渡しし、ご不明点はメールやお打ち合わせでご説明します。
- 06
ロールの削除
診断が終わったら、スタックを削除してロールを取り除いてください。
Report
経営層にも、担当者にも伝わる報告書
エグゼクティブサマリー
結果の概要、0〜100 点のセキュリティスコアとカテゴリ別のレーダー、深刻度ごとの件数、対応の優先順位。
全項目の判定
検査したすべての項目について、目的と判定（○ 問題なし／× 不備あり）をカテゴリごとに一覧で示します。
直すための詳細
リスク、攻撃シナリオ、該当リソース、診断時の確認コマンドと結果、修正手順、参考情報を項目ごとに記載します。
構成図
ネットワーク構成図と権限（IAM）構成図で、インターネットから届く経路と不備のある場所を示します。
該当コード
ワークロード診断では、悪用できるコードの箇所と前後の行、直し方を示します。秘密情報は伏せ字です。
検査しなかった対象
上限や前提の都合で検査しなかった対象も、理由とあわせて記載します。
Safety
お客様の環境に、変更を加えない
読み取り専用のロール
AWS 管理ポリシー SecurityAudit に、Lambda のコードとイメージの取得など最小限の読み取りを加えたロールで診断します。
外部 ID で保護
ロールは当社の診断環境からのみ、お客様ごとの外部 ID を付けて引き受けられます。
権限の外を呼ばない
ロールに許可されていない API は呼び出さない設計です。CloudTrail に拒否の記録を残しません。
設定は変更しない
設定診断は読み取りのみです。ワークロード診断のスナップショット操作も、診断用のタグが付いたものに限ります。
AI は国内リージョンで
総評や設計上の懸念の作成に使う AI は、当社の AWS 環境の Amazon Bedrock（国内のリージョン）で動きます。
秘密情報は伏せ字
見つけた鍵やパスワードは、先頭の 4 文字だけを残して保存・報告します。
Pricing
料金の目安
料金は、対象のアカウント数と、ワークロード診断の有無・対象の数に応じてお見積りします。
表示価格はすべて税別です。対象の規模・機能数により変動します。
お見積り
FAQ
よくある質問
どの AWS アカウントが対象になりますか？
ご依頼いただいた AWS アカウントの、有効なすべてのリージョンが対象です。AWS Organizations の組織全体の設定（SCP・組織トレイルなど）は、管理アカウントをご依頼いただいた場合に検査します。
環境に影響はありませんか？
設定診断は読み取りのみで、リソースの作成・変更・削除は行いません。ワークロード診断では EC2 のスナップショットを作成しますが、検査後に削除します。稼働中のインスタンスを止める必要はありません。
ワークロード診断の対象に上限はありますか？
1 回の診断で、EC2 は東京リージョンの 10 台まで（1 ボリューム 200GiB・合計 500GiB まで）、Lambda とコンテナイメージは 40 件までを検査します。上限を超える場合や対象を絞りたい場合はご相談ください。
Web 診断とどちらを選べばよいですか？
両者は見る場所が異なり、補い合う関係です。Web アプリケーションの脆弱性は Web・プラットフォーム診断で、アプリが動く AWS 環境の設定と中身は AWS セキュリティ診断で確かめます。