ヒューマンクレストの脆弱性診断の特徴

世界トップレベルの解析技術を持つ脆弱性診断企業の【GMOサイバーセキュリティ byイエラエ株式会社】と強力にタイアップし、Androidアプリ、iOSアプリ、Webアプリケーション、ネットワーク、IoT機器などの各セキュリティを手動とツールの両方面からハイブリッド診断。
プロダクト検証と脆弱性診断を一気通貫でお引き受けすることにより、情報をまとめて一括管理し、高品質と高いセキュリティレベルを同時実現いたします。

脆弱性診断サービスメニュー

❶ Webアプリケーション脆弱性診断

ツール×マニュアルのハイブリッド診断
5000アプリケーションを超える豊富な診断実績に裏付けられた高い信頼性と安全性

• Java、PHP、Perl、Rubyなどで開発されたWebアプリケーションに対して検査を実行
• 設計・実装・ロジック等に起因した不正侵入、情報漏洩、サービス悪用を可能にする脆弱性がないか、実際にネットワークを経由して擬似攻撃（不正な値の入力、リクエスト改ざん、不正コードの挿入など）を行い、確認
• 入出力処理、認証・認可、セッション管理、Webサーバ設定、Web2.0 等

❷ iOS & Androidアプリ脆弱性診断

iOSアプリとAndroidアプリの両方面で、高度な解析技術でのリバースエンジニアリングによる診断を実施。
WindowsアプリやMacアプリも対応可能

【Androidアプリ診断】
• データ共有機能のアクセス制限チェック、アプリ間連携チェック
• WebViewの脆弱性
• 端末データに対する防御
• 難読化、スタブ化チェック
  （Unityを利用したプログラムで.NETのソースコードが隠蔽されているか）

【iOSアプリ診断】
• ログ出力のチェック、アプリ間連携のチェック
• WebViewの脆弱性
• iFunboxを利用した攻撃に対する防御
• 難読化、スタブ化チェック
  （Unityを利用したプログラムで.NETのソースコードが隠蔽されているか）

❸ ネットワーク診断

稼働中のシステムへ極力負荷を与えることなく、サーバのOSやサービスを確認した上で、診断対象にどのようなリスクが存在するのかを洗い出します。
ペネトレーションテストも実施可能

• DNSサーバ、メールサーバ、ディレクトリサーバなどのネットワーク経由サービスサーバの診断
• ルータ、ファイアウォール、VPN装置などのネットワーク機器の診断
• ペネトレーションテスト（侵入テスト）

【ペネトレーションテスト】
ハッカー同等の擬似攻撃をして脆弱性を診断する「ペネトレーションテスト（侵入テスト）を診断メニューに追加しました。
従来のネットワーク診断とWebアプリケーション診断に加え、カスタム擬似マルウェアを配置してAPT攻撃テストを実施することにより、社内外のサーバの脆弱性をより精密に診断します。

❹ IoT機器脆弱性診断

IoT機器にセキュリティ上の問題点がないかを手作業で診断

• プロトコル診断：機器固有のプロトコルに沿って異常なリクエスト送信や、承認のバイパスを試みるリクエスト送信などのテストを行い、攻撃者の利益になるような挙動を起こすことが可能かどうかを診断
• DoSテスト：機器に異常な内容と量のリクエストを送信し、動作に支障をきたすかどうかを診断
• ファームウェアテスト：機器のファームウェアアップデートファイルおよびアップデート過程を調べ、秘密のロジックや鍵が解析可能か、不正なアップロード（改造ファームウェアなど）が適用可能かを診断
• その他：機器の特性を悪用した攻撃が存在していないかを診断

サービス事例