Web アプリとサーバを、
エンジニアの目で診断する
Web サイトを構成する Web アプリケーション・API と、サーバ・ネットワークを検査します。スキャナによる自動検査をエンジニアが精査し、プランに応じて機能単位の手動検査とペネトレーションテストを加えます。
料金の目安30万円〜（税別）
Three kinds of testing
3 つの検査を組み合わせる
プランに応じて、次の 3 つの検査を組み合わせます。
脆弱性検査
脆弱性検査スキャナや自社開発のツールで網羅的に検査します。結果はエンジニアが精査し、誤検知の除外とリスクの判定を行います。
SCAN手動検査
スキャナでは見つけにくい脆弱性を、エンジニアが画面遷移やパラメータの受け渡し、技術的な特徴を理解したうえで機能ごとに検査します。
MANUAL侵入検査
セキュリティコントロールの回避を試み、見つかった脆弱性を組み合わせることで、実際の脅威が引き起こせるかを検証します。
PENETRATIONPlans
目的に合わせて選べる 3 つのプラン
どのプランもプラットフォーム（サーバ・ネットワーク）と Web アプリケーションの自動検査を含みます。
BASIC
ベーシック
30万円〜（税別）
スキャナによる自動検査の結果をエンジニアが精査して報告します。低コスト・短期間で診断したい場合に。
- プラットフォーム1 IP
- Web・API 自動検査あり
- 手動検査なし
- ペネトレーションテストなし
- 診断日数の目安4 日〜
BUSINESS
ビジネス
60万円〜（税別）
「脆弱性診断ガイドライン」に沿って、個々の機能を分析しながら手動で検査します。
- プラットフォーム5 IP
- Web・API 自動検査あり
- 手動検査10 機能
- ペネトレーションテストなし
- 診断日数の目安7 日〜
ADVANCED
アドバンス
90万円〜（税別）
ビジネスの検査に加え、リスクの高い脆弱性や、組み合わせると脅威になる脆弱性がないかを侵入検査で確かめます。
- プラットフォーム5 IP
- Web・API 自動検査あり
- 手動検査10 機能
- ペネトレーションテストあり
- 診断日数の目安10 日〜
手動検査の「機能」は、ユーザーの操作に対して実行される処理の単位です（例：キーワードを入力して検索結果を表示する、登録ボタンでメールを送る）。1 つの操作で 2 つの処理が実行される場合は 2 機能と数えます。含まれる数を超える IP・機能は追加料金で対応します。
Registered service
情報セキュリティサービス基準 適合サービスリスト 登録
- 登録番号
- 024-0015-20
- サービス区分
- 脆弱性診断サービス
- サービス名
- Matrix Inspect
- 有効期限
- 2028年9月22日
経済産業省の「情報セキュリティサービス基準」に適合するサービスとして、審査登録機関の審査を経て登録されています。登録情報を見る
Process
検査の流れ
プランに応じて 5〜7 のステップで検査します。
- 01
診断対象環境の事前調査
各ページの操作方法と機能の動作を確認し、ヒアリングシートからシステムの環境を把握します。
- 02
ネットワーク・サーバ診断
対象の IP アドレスに対し、通信プロトコルや稼働サービスの脆弱性、OS やソフトウェアの既知の脆弱性を調べます。OpenVAS・Nmap・Nuclei などを使います。
- 03
Web アプリケーション診断
Burp Suite のクローラーで対象ドメインのページを集め、ヘッダーやクエリーパラメータ、POST データなどの入力値に検査用のリクエストを送って自動検査します。
- 04
診断結果の精査とリスク判定
ツールの結果をエンジニアがレビューし、誤検知や環境由来のノイズを除いたうえでリスクを判定します。
- 05
手動検査ビジネス・アドバンス
各機能を Burp Suite のプロキシ機能を使いながらエンジニアが手動で検査します。「脆弱性診断ガイドライン」に沿って網羅します。
- 06
ペネトレーションテストアドバンス
見つかった脆弱性に関連する脅威を特定し、ほかの脆弱性との組み合わせも含めて、その脅威が実際に引き起こせるかを調べます。
- 07
報告書作成と説明
対策案を含む報告書をエンジニアが作成し、品質管理責任者のレビューを経て提出します。質疑応答はメール・電話で承ります。
Test items
主な診断項目
アプリケーションの環境や機能の内容に応じて、次の項目を検査します。
プラットフォーム
オープンポート、稼働サービス、既知の脆弱性、SSL/TLS の設定
認証
ユーザー登録、認証回避、ロックアウト、パスワードの強度・履歴、パスワードリセット・変更、暗号化通信でのパスワード送信、ハードコードされたパスワード
認可
ディレクトリトラバーサル、権限昇格、他ユーザー領域へのアクセス、不要な HTTP メソッドの許可
セッション
Cookie 属性（Secure / HttpOnly）、暗号化通信でのセッション送受信、セッション固定化、推測可能なセッション ID、CSRF、セッションタイムアウト、ログアウト
入力検査
XSS（反射型・格納型）、HTTP メソッドの改ざん、SQL インジェクション、コマンドインジェクション、ファイルインクルージョン、CRLF インジェクション、CSS インジェクション、相対パスによる上書き、サーバサイドテンプレートインジェクション
クライアントサイド
クリックジャッキング、HTML インジェクション
ファイルアップロード
内容・Content-Type・ファイル名・メタデータを細工したファイルによる XSS・リモートコード実行・DoS、ZIP ファイルによる上書き、XXE
情報漏洩
エラーハンドリング、クエリー文字列内の機密データ、バックアップ・設定ファイルの参照、キャッシュ、個人情報のマスキング不備、ディレクトリリスティング
その他
オープンリダイレクト、デシリアライゼーション、SSRF、クロスサイト WebSocket ハイジャック
Option
AWS アカウントの設定まで検査する
Web サイトの診断に加えて、AWS アカウント内の IAM・ログ・ストレージ・監視・ネットワークなどの設定を検査するオプションです。業界標準の CIS ベンチマークに、当社が Web 対策として重要と考える項目を加えています。
CIS ベンチマーク＋独自項目
業界標準のガイドラインに、ALB や WAF など Web 対策の観点を追加。
読み取り専用ロールで実施
AWS 標準の監査ポリシー SecurityAudit を割り当てたロールを使い、設定を参照するだけ。リソースの作成・変更・削除は一切行いません。
5 段階で評価
6 つの分野を 100 点満点でスコア化し、総合評価を A〜E で示します。項目ごとの合否と対策案も記載します。
オプション料金10万円〜（税別）
6 areas
- STEP 1
ロールの作成
当社が提供する CloudFormation テンプレートでスタックを作成（1〜2 分）。
- STEP 2
ARN の共有
作成されたロールの ARN を担当者にお知らせください。
- STEP 3
検査の実施
共有いただいたロールで検査します（通常 1 営業日程度）。
- STEP 4
ロールの削除
検査が終わったらスタックを削除し、ロールを取り除きます。
Options
そのほかのオプション
再検査
脆弱性と判定した箇所を、改修後にもう一度検査します。報告書の提出から 2 か月以内。
ビジネス・アドバンスiOS・Android アプリ
モバイル端末内のアプリのセキュリティを検査します。API との連携部分は基本料金の範囲で実施します。
ビジネス・アドバンスオンライン報告会
Web 会議で報告書の内容を解説します。関係部署への説明を第三者に任せたい場合にも。
ビジネス・アドバンス対象の追加
プランに含まれる数を超える IP アドレスや手動検査の機能も、追加で診断できます。
全プランEstimate
お見積りまでの進め方
ビジネス・アドバンスプランでは、まずサイトの構造を把握して「機能一覧＋リスクの重みづけ」を作り、範囲の異なる複数のパターンでお見積りします。
HAR ファイルのご提供
お客様にサイトを操作していただき、その記録（HAR）をご提供いただきます。
おすすめ・無償クローリング
当社で対象環境を自動で巡回し、機能を洗い出します。
無償当社で確認
アクセス権をいただき、当社のエンジニアが手動で確認します。
有償ドキュメントのご提供
画面一覧や API 仕様書などをご用意いただきます。
- 01機能一覧＋リスクの重みづけ（High / Medium / Low）
- 02スコープの合意
- 03お見積りの提出
- 04ご発注・診断開始
本番環境・開発中の環境・小規模なサイトなど、環境とご用意いただける情報に合わせて、最初のヒアリングで最適な方法をご提案します。
Pricing
料金の目安
表示価格はすべて税別です。対象の規模・機能数により変動します。
30万円〜（税別）
FAQ
よくある質問
本番環境を診断しても大丈夫ですか？
診断元 IP の許可や検査用アカウントの準備など、事前調整で影響範囲を確認してから実施します。本番環境で避けたい操作（メール送信や決済など）があれば、ヒアリングの段階でお知らせください。
どのプランを選べばよいですか？
まず既知の脆弱性を短期間で確認したい場合はベーシック、ログインや決済など重要な機能があるサイトはビジネス、攻撃が成立するところまで確かめたい場合はアドバンスをおすすめしています。ヒアリングの内容からご提案します。