概要
外部に公開しているウェブアプリケーションは、誰でも到達できる攻撃面です。認証を突破されれば、その先の業務データにまで手が届きます。
自動診断ツールが検出できるのは、既知のパターンに合致する問題までです。業務ロジックの不備、権限管理の抜け、認証やセッション管理の実装上の問題は、アプリケーションの仕様を理解したうえで手を動かさないと見つかりません。本サービスで診断員による手動の検証を組み合わせるのは、このためです。
ゼロデイ、すなわちまだ知られていない脆弱性の探索も対象に含まれます。
診断の内容と成果物
業務ロジックと認可の弱点を見つけるほか、アプリケーションの次の8つの要素を重点的にテストします。
複数の脆弱性が見つかった場合は、それらを組み合わせて悪用する攻撃シナリオ（vulnerability chain）を作り、高度な攻撃者の手口に沿って、実際の攻撃が及ぼす影響を示します。
報告では、次の内容を提供します。
ご契約方法
本サービス単体でのご契約に加えて、Mandiantの年間サブスクリプション「Mandiant Retainer（旧称 Expertise on Demand）」の枠内で実施することもできます。後者であれば、本サービスとあわせて、インシデント対応やトレーニングなども同じ契約の中で使い分けられます。
費用は、対象範囲・期間・体制によって変動するため、個別のお見積となります。Mandiantが提供するその他のサービスについては、Mandiantサービスのページをご覧ください。
関連サービスペネトレーションテスト実際の攻撃者と同じ手口で、ネットワーク、クラウド、ICS/OTなどの防御を体系的に試し、悪用されうる脆弱性と設定ミスを洗い出します。
関連サービスMandiantサービスインシデント対応、侵害調査、診断・演習、脅威インテリジェンスの活用、トレーニングまで、Mandiantのサービスの全体像と、個別のご契約・Mandiant Retainer の2つの契約方法をまとめています。
実施のご相談は、下記よりお気軽にお問い合わせください。
