脆弱性を見つけるだけでなく、
攻撃が成立するかまで確かめる
ペネトレーションテストは、診断で見つかった脆弱性を手がかりに、セキュリティ対策の回避を試み、複数の脆弱性を組み合わせて実際に脅威を引き起こせるかを検証します。Web・プラットフォーム診断の上位プラン「アドバンス」として、脆弱性診断とあわせて実施します。
料金の目安90万円〜（税別）
Assessment vs penetration test
脆弱性診断との違い
脆弱性診断で「どこに、どんな脆弱性があるか」を洗い出し、ペネトレーションテストで「その脆弱性で何をされうるか」を確かめます。
脆弱性診断
ベーシック・ビジネス
- 目的脆弱性を網羅的に洗い出す
- 進め方スキャナと手動検査で、検査項目を網羅する
- 分かることどこに、どんな脆弱性があるか
ペネトレーションテスト
アドバンス（脆弱性診断に追加）
- 目的脆弱性を悪用して、脅威が成立するかを確かめる
- 進め方診断結果を総合的に捉え、対策の回避や脆弱性の組み合わせを試す
- 分かること攻撃者に何をされうるか（なりすまし・情報の参照など）
Example
脆弱性の「組み合わせ」を検証する
例えばクロスサイトスクリプティングの脆弱性があった場合、その脆弱性を利用してセッション情報を盗み、盗んだセッションでユーザーになりすましてアクセスし、情報が参照できるかまで検査します。
- 01クロスサイトスクリプティングを検出
- 02セッション情報を盗む
- 03ユーザーになりすましてアクセス
- 04情報を参照できるかを確認
一つひとつは小さな脆弱性でも、組み合わせると重大な被害につながることがあります。ツールでは届かないこうした攻撃の連鎖を、エンジニアが手で確かめます。
When to choose
こんなときにおすすめです
対策が本当に効いているか確かめたい
WAF などの既存のセキュリティ対策が、実際の攻撃に対して有効かを確認できます。
認証・決済などの重要な機能がある
業務ロジックが複雑な機能は、ツールだけでは不備を見つけにくく、エンジニアによる検証が欠かせません。
規制や監査への説明が必要
規制への対応や監査など、自動の診断結果だけでは説明しきれない場面で、エンジニアが攻撃の成立まで確かめた結果を示せます。
結果を重要な判断に使う
リリースの可否や投資の判断など、診断結果を経営判断に使う場合に、攻撃の成立まで確かめた結果が役立ちます。
Plan
アドバンスプランで実施します
ペネトレーションテストは、脆弱性診断（ビジネスプランの検査）に追加して実施します。診断で見つかった脆弱性を起点に検証するためです。
BUSINESS
ビジネス
60万円〜（税別）
「脆弱性診断ガイドライン」に沿って、個々の機能を分析しながら手動で検査します。
- プラットフォーム5 IP
- Web・API 自動検査あり
- 手動検査10 機能
- ペネトレーションテストなし
- 診断日数の目安7 日〜
ADVANCED
アドバンス
90万円〜（税別）
ビジネスの検査に加え、リスクの高い脆弱性や、組み合わせると脅威になる脆弱性がないかを侵入検査で確かめます。
- プラットフォーム5 IP
- Web・API 自動検査あり
- 手動検査10 機能
- ペネトレーションテストあり
- 診断日数の目安10 日〜
含まれる数を超える IP・機能も追加で診断できます。ベーシックプランを含む全プランの比較は Web・プラットフォーム診断のページをご覧ください。
Process
検査の流れ
脆弱性診断の結果を踏まえて、最後にペネトレーションテストを行います。
- 01
診断対象環境の事前調査
各ページの操作方法と機能の動作を確認し、ヒアリングシートからシステムの環境を把握します。
- 02
ネットワーク・サーバ診断
対象の IP アドレスに対し、稼働サービスの脆弱性や既知の脆弱性を調べます。
- 03
Web アプリケーション診断
ツールで対象のページを集め、入力値に検査用のリクエストを送って自動検査します。
- 04
診断結果の精査とリスク判定
ツールの結果をエンジニアがレビューし、誤検知を除いたうえでリスクを判定します。
- 05
手動検査
各機能をエンジニアが手動で検査します。「脆弱性診断ガイドライン」に沿って網羅します。
- 06
ペネトレーションテストここが追加
見つかった脆弱性に関連する脅威を特定し、あらゆる攻撃手法を駆使しながら、ほかの脆弱性と組み合わせて、その脅威を実際に引き起こせるかを調べます。
- 07
報告書作成と説明
対策案を含む報告書をエンジニアが作成し、品質管理責任者のレビューを経て提出します。
Pricing
料金の目安
表示価格はすべて税別です。対象の規模・機能数により変動します。
90万円〜（税別）
FAQ
よくある質問
脆弱性診断とペネトレーションテスト、どちらが必要ですか？
まず脆弱性を網羅的に洗い出したい場合は脆弱性診断、見つかった脆弱性で実際に何をされうるかまで確かめたい場合はペネトレーションテストをおすすめします。Matrix Inspect では、両方をアドバンスプランとしてまとめて実施します。
ペネトレーションテストだけを依頼できますか？
診断で見つかった脆弱性を起点に検証するため、脆弱性診断とあわせてアドバンスプランとして実施しています。対象や目的に合わせてご提案しますので、まずはご相談ください。
本番環境で実施しても大丈夫ですか？
診断元 IP の許可や検査用アカウントの準備など、事前調整で影響範囲を確認してから実施します。本番環境で避けたい操作があれば、ヒアリングの段階でお知らせください。