ソースコードから、
見えない脆弱性を見つける
AI による入出力フローの解析と、セキュリティエンジニアによるレビューを組み合わせたホワイトボックス型の診断です。ソースコードの内部構造を直接解析して実装上の脆弱性を見つけ、修正コード例つきでお返しします。
料金の目安60万円〜（税別）
Why white-box
外からの診断だけでは、見逃すものがある
実行環境に対するブラックボックス型の診断では、アプリケーションの外部の挙動しか確認できません。次のような脆弱性は、実装コードを直接見なければ見つけにくいものです。
認可ロジックの抜け漏れ
入力値の未検証
鍵・パスワードのハードコード
例外処理の不備
内部 API の制御不足
開発の段階からセキュリティを組み込む「シフトレフト」に効果的なアプローチです。
Features
サービスの特長
AI によるフロー解析
入力から出力までのデータの流れを自動で追跡し、制御されていない経路や潜在的な脆弱性を見つけます。
専門家のレビュー
検出結果をセキュリティエンジニアが精査して誤検出を除き、影響度と再現性を評価します。
改善提案レポート
脆弱性ごとに修正方針と改善コード例を示し、開発者がすぐに対応できる形でお渡しします。
実装段階で診断
実行環境は不要です。ソースコードだけで診断できます。
Process
診断の流れ
- 01
ソースコードのご提出
ZIP 形式で、安全なファイル共有サイトにアップロードしていただきます。
- 02
AI 解析
入出力の制御フローを自動で解析し、制御が漏れている箇所を抽出します。
- 03
専門家の確認
セキュリティエンジニアが誤検出を除き、リスクの度合いを評価します。
- 04
レポート作成
検出箇所の概要、影響範囲、修正例を整理します。
- 05
納品・報告
改善提案つきのレポートを納品し、必要に応じて個別にご説明します。
Report
開発者がすぐ直せるレポート
検出結果を、開発者がそのまま対応できる形でお渡しします。
- 脆弱性の分類（重大・高・中・低）
- 該当箇所のコード抜粋とリスクの説明
- 修正版のコード例（推奨する修正方法）
- ツールが検出したものの、データの流れを確認して脆弱性ではないと判断したものも、理由とあわせて記載
Before
String query = "SELECT * FROM users WHERE id=" + userInput;After（改善案）
PreparedStatement ps = conn.prepareStatement(
"SELECT * FROM users WHERE id = ?");
ps.setString(1, userInput);Scope
対応言語と、おすすめのケース
対応言語
特におすすめのシステム・ケース
- Web アプリケーション・API サーバ
- バックエンドサービス・マイクロサービス構成
- オフショア開発や委託成果物の品質確認
- 認証・決済など高リスクな処理を含むアプリケーション
Test items
検査項目
OWASP Top 10 に沿った検査で、内部監査やお客様からの要求への対応も支援します。
認証・アクセス
アクセス制御の欠如、ハードコードされた秘密鍵・パスワード、暗号化の不備
インジェクション
SQL インジェクション、クロスサイトスクリプティング、コマンドインジェクション、ローカル／リモートファイルインクルージョン、HTML インジェクション、サーバサイドテンプレートインジェクション、パストラバーサル、正規表現インジェクション、XML 外部エンティティ、プロトタイプ汚染
コーディング品質
例外処理の誤り、未使用の変数、型の不一致、デバッグコードの残存
その他
フレームワーク・ライブラリ固有のセキュリティ、インフラ・設定ファイルのセキュリティ
Benefits
導入の効果
リスクの早期発見
実装の段階で潜在的な脆弱性を見つけ、リリース後の重大なインシデントを防ぎます。
内部の制御を強化
認可漏れや入力値の検証漏れなど、ブラックボックス診断で見逃しやすいリスクを補います。
再発防止と標準化
修正版のコード例を通じて安全な実装を定着させ、品質を継続的に高めます。
基準への準拠を支援
OWASP Top 10 に沿った診断で、内部監査やお客様からの要求に対応できます。
Pricing
料金の目安
コード 3 万行までの診断とレポートの料金です。3 万行を超える場合は行数に応じて追加料金がかかります。納品物は改善提案つきレポート（PDF）。改善説明会はオプションです。
表示価格はすべて税別です。対象の規模・機能数により変動します。
60万円〜（税別）
FAQ
よくある質問
ソースコードはどのように渡せばよいですか？
ZIP 形式にまとめ、当社が用意する安全なファイル共有サイトにアップロードしていただきます。
Web 診断（ブラックボックス）とどちらを選べばよいですか？
両者は見えるものが異なり、補い合う関係です。外から見た挙動はブラックボックス診断で、内部のロジックや認可漏れはソースコード診断で確かめます。開発中でまだ動く環境がない場合は、ソースコード診断から始められます。