経済産業省が定める「情報セキュリティサービス基準」に基づく登録サービス
サービス名：ペネトレーションテストサービス／脆弱性診断サービス
Webアプリケーション診断とは、WebサイトやWebサービス、ECサイト、SaaSなどを対象に、サイバー攻撃につながる脆弱性やセキュリティ上の問題を調査するセキュリティ診断です。認証・認可、入力値処理、セッション管理、アクセス制御などを確認し、情報漏えいや不正アクセス、不正操作につながるリスクを明らかにします。対象システムや診断の目的に応じて、脆弱性診断やペネトレーションテストなどの方法でセキュリティを評価します。
WebサイトやWebサービスは、ログイン機能、入力フォーム、ユーザーごとの権限、APIなど、さまざまな機能によって構成されています。これらに脆弱性や設計上の不備が存在すると、情報漏えいや不正アクセス、アカウントの乗っ取りなどにつながる可能性があります。
CyberCrewでは、Webアプリケーションの構成や利用目的、取り扱う情報などを確認した上で、脆弱性診断やペネトレーションテストを実施します。一般的な脆弱性だけでなく、認証・認可や業務ロジックなど、アプリケーション固有のセキュリティリスクについても対象範囲に応じて検証します。
Webアプリケーションはインターネットを通じて利用されるため、攻撃者からも継続的にアクセスできる攻撃対象となります。特に、個人情報や決済情報などを取り扱うサービスや、複数のユーザー権限、API連携を持つシステムでは、認証やアクセス制御、入力値処理の不備が重大な被害につながる可能性があります。
また、一つひとつの問題が軽微に見えても、複数の脆弱性や設定不備を組み合わせることで、攻撃経路として悪用される場合があります。Webアプリケーションに潜む主な脆弱性と想定されるリスクには、以下のようなものがあります。
| 脆弱性カテゴリ | 主なリスク |
|---|---|
| 入力値検証の不備 | SQLインジェクションやクロスサイトスクリプティング（XSS）などにより、情報の不正取得や利用者への攻撃につながる可能性があります。 |
| 認証・認可の不備 | 不正ログイン、権限昇格、本来アクセスできない情報や機能の利用につながる可能性があります。 |
| セッション管理の不備 | セッション情報の窃取や悪用により、利用者へのなりすましにつながる可能性があります。 |
| セキュリティ設定の不備 | 不要な情報公開や管理機能の露出などにより、攻撃者による調査や攻撃を容易にする可能性があります。 |
| アクセス制御の不備 | 他の利用者が保有するデータの閲覧や、許可されていない操作につながる可能性があります。 |
Webアプリケーション診断とプラットフォーム診断では、主に評価する対象が異なります。Webアプリケーション診断では、ログイン、入力フォーム、セッション、ユーザー権限、APIなど、Webサービスの機能や処理を中心に確認します。これに対し、プラットフォーム診断では、サーバーのOSやミドルウェア、公開ポート、ネットワークサービス、ソフトウェアのバージョン、セキュリティ設定など、Webアプリケーションを稼働させる基盤を主な対象として評価します。
Webアプリケーション診断
アプリケーションの「機能・処理」を見る
プラットフォーム診断
サービスを支える「基盤」を見る
脆弱性診断は、Webアプリケーションに存在する脆弱性や設定不備を調査し、問題を発見して修正につなげることを主な目的とします。一方、ペネトレーションテストでは、あらかじめ許可された対象範囲と条件のもとで攻撃者を想定した検証を行い、発見した問題が実際の攻撃経路として利用できるか、複数の問題を組み合わせることでどこまで影響が及ぶかを評価します。
CyberCrewのペネトレーションテストでは、攻撃者視点を持つセキュリティ専門家が手動による検証を実施します。個別の脆弱性を確認するだけでなく、認証、権限、API、業務ロジックなどを横断し、対象範囲内で実際の攻撃につながる経路や影響を検証します。
脆弱性診断
問題を「発見する」
ペネトレーションテスト
攻撃を「検証する」
CyberCrewの強み
CyberCrewのペネトレーションテストでは、攻撃者視点を持つセキュリティ専門家が手動による検証を実施します。個別の脆弱性を確認するだけでなく、認証、権限、API、業務ロジックなどを横断し、対象範囲内で実際の攻撃につながる経路や影響を検証します。
Webアプリケーションのセキュリティを正確に評価するためには、脆弱性を「見つける」だけでなく、その問題が実際の攻撃に利用できるのかを確認することが重要です。
CyberCrewでは、脆弱性診断（Vulnerability Assessment）とペネトレーションテスト（Penetration Testing）を組み合わせたVAPT型の評価を実施します。
まず、ツールと専門家による手動検証によってWebアプリケーション全体の脆弱性を調査します。その上で、ペネトレーションテストでは、発見した脆弱性やセキュリティ上の問題に対して攻撃者を想定した疑似攻撃を行い、実際にどのような攻撃が成立するのか、どこまで影響が及ぶ可能性があるのかを検証します。
これにより、脆弱性の有無だけでなく、実際にどのような攻撃が成立し、どこまで影響が及ぶ可能性があるのかを明らかにします。
脆弱性を「見つける」
脆弱性診断（VA）
01 / VULNERABILITY ASSESSMENT
まず、診断ツールを用いてWebアプリケーション全体を広く調査し、既知の脆弱性や一般的なセキュリティ上の問題を確認します。
その後、セキュリティ専門家がHTTPリクエストやレスポンス、認証・認可、入力値処理、セッション管理、APIなどを手動で検証します。
ツール診断だけでは判断が難しいアクセス制御の不備や業務ロジック上の問題についても、実際のアプリケーションの挙動を確認し、ペネトレーションテストで検証すべき脆弱性やセキュリティ上の問題を特定します。
ツール診断
手動検証
脆弱性を特定
攻撃が「成立するか確かめる」
ペネトレーションテスト（PT）
02 / PENETRATION TESTING
ペネトレーションテストでは、脆弱性診断で発見した脆弱性やセキュリティ上の問題をもとに、実際の攻撃者がどのように悪用する可能性があるかを検証します。
専門テスターが複数の攻撃シナリオを検討し、あらかじめ合意した対象範囲と条件のもとで疑似攻撃を実施します。
単一の脆弱性だけでなく、複数の問題を組み合わせた攻撃も検証し、実際に可能となる操作、アクセスできる情報、攻撃による影響範囲を明らかにした上で、確認された結果を評価します。
攻撃経路を検討
シナリオを検証
疑似攻撃を実施
影響を評価
診断手法
CyberCrewでは、診断対象となるWebアプリケーションの構成や、お客様のご要望、確認したいリスクに応じて、適切な診断手法をご提案します。
Webアプリケーション診断では、ログイン後の機能やユーザーごとの権限、アクセス制御まで含めて検証することが重要です。そのため、一般ユーザーなどの認証情報を用いて、外部攻撃と認証後の機能の双方を確認できるグレーボックステストを基本的に推奨しています。
一方、外部から確認できる攻撃経路に重点を置く場合はブラックボックステスト、ソースコードや設計情報を含めて詳細に評価する場合はホワイトボックステストなど、目的に応じて診断手法を選定します。
対象システムの内部情報を原則として与えられていない、外部攻撃者に近い条件でテストを実施します。
一般ユーザーの認証情報など、限定された情報や権限を与えた状態でテストを実施します。
ソースコード、設計書、システム構成など、対象に関する内部情報を利用して詳細な評価を実施します。
Webアプリケーションには、ログイン機能や入力フォーム、ユーザー権限、API、セッション管理など、さまざまな攻撃対象が存在します。これらの実装や設定に不備がある場合、情報漏えいや不正アクセス、不正操作などにつながる可能性があります。
CyberCrewでは、OWASPなどが公開するWebアプリケーションセキュリティのリスクやテスト手法を参照し、対象システムの構成や機能に応じて検査項目を設計します。診断ツールによる確認に加え、セキュリティ専門家がアプリケーションの挙動を手動で検証し、セキュリティ上の問題を調査します。
01
認証と認可
ログイン処理、パスワード関連機能、ユーザー権限などを確認し、認証回避や権限昇格につながる問題を検証します。
02
入力処理とインジェクション
SQLインジェクションやXSSなど、入力値を悪用した攻撃の成立可能性を確認します。
03
セッション管理
Cookieやセッショントークン、ログアウト処理などを確認し、セッションの窃取や悪用につながる問題を検証します。
04
セキュリティ設定の不備
不要な情報公開、管理機能の露出、HTTPセキュリティ設定など、設定上の問題を確認します。
05
機密データの露出
個人情報、認証情報、秘密情報などが、不適切に露出していないか確認します。
06
アクセス制御の不備
IDORやBOLAを含むアクセス制御を確認し、本来アクセスできないデータや機能を利用できないか検証します。
Webアプリケーション診断の費用は、対象となるシステムの規模や機能数、API、ユーザー権限、認証方式、テスト範囲などによって異なります。CyberCrewでは、Webアプリケーションの脆弱性を調査する脆弱性診断と、実際の攻撃成立性や影響範囲まで検証するペネトレーションテストを提供しています。
本ページでは、Webアプリケーションを対象としたペネトレーションテストの参考価格をご紹介します。診断対象や目的を確認した上で実施内容をご提案しており、ご相談・お見積りは無料です。
VULNERABILITY ASSESSMENT
成果報酬型脆弱性診断をお探しの方
脆弱性診断の料金体系・サービス内容は、専用ページで詳しくご紹介しています。
サービス詳細を見る →
Webアプリケーションペネトレーションテストの参考価格
ペネトレーションテストでは、対象となるWebアプリケーションの構成やテスト範囲に応じて、必要な検証内容や工数が異なります。以下は主な対象別の参考価格です。
独自開発された業務系Webアプリ。ログイン、入力フォーム、動的な画面遷移を含む
マルチユーザー対応・複雑な認証・API連携を含むクラウド型 サービス
商品購入・決済・会員登録・個人情報管理を伴うネットショップサ イト
プラグインやテーマの脆弱性が狙われやすい、更新頻度の高い コンテンツ管理型サイト
モバイルアプリが利用するAPI・認証処理・セッション管理などを 対象とした診断
REST/GraphQL等のAPIに対し、認証・入力値チェック・レート制 限・ビジネスロジックを検証
法令・業界基準（例：個人情報保護法、PCI-DSS等）に準拠が求め られる業種向け
単一構成のランディングページに対し、脆弱性診断のみ実施 （ペネトレーションテスト対象外）
※上記は参考価格です。対象範囲、システム構成、機能数、API、ユーザー権限、テスト条件などによって費用は異なります。正式な料金はヒアリング後のお見積りにてご案内します。
CyberCrewは、攻撃者の視点を取り入れたセキュリティ評価を強みとするサイバーセキュリティ企業です。複数のホワイトハッカーが在籍し、Webアプリケーションの脆弱性を個別に確認するだけでなく、認証、ユーザー権限、API、業務ロジックなどを横断してセキュリティ上の問題を検証します。対象や目的に応じて脆弱性診断とペネトレーションテストを提案し、検出された問題について、想定される影響や修正方法、対応優先度を整理して報告します。
攻撃者視点での検証
実際の攻撃者がどの機能や問題に着目するかという視点で評価します。
専門家による手動検証
自動診断だけでは判断が難しい権限制御や業務ロジックを確認します。
攻撃経路を横断的に評価
複数の問題が組み合わさることで生じるリスクを検証します。
修正につながるレポート
問題の影響や再現内容、推奨される対応を整理して報告します。
Webアプリケーション診断を実施することで、脆弱性や設定不備を発見するだけでなく、現在のセキュリティリスクを把握し、対応すべき問題の優先順位を整理できます。
01
セキュリティリスクの可視化
Webアプリケーションに存在する脆弱性や設定不備を把握できます。
02
ビジネスリスクの低減
情報漏えいや不正アクセスなどにつながる問題への対応を支援します。
03
修正優先度の明確化
深刻度や想定される影響を整理し、対応優先度の判断に活用できます。
04
開発サイクルの最適化
発見された問題を設計や開発、レビューへ反映し、セキュリティ改善に活用できます。
05
セキュリティ対策の説明
実施した評価内容と結果を整理し、社内外へのセキュリティ対策の説明に活用できます。
※上記は参考価格です。対象範囲、システム構成、機能数、API、ユーザー権限、テスト条件などによって費用は異なります。正式な料金はヒアリング後のお見積りにてご案内します。
Webアプリケーションのセキュリティ評価では、担当者個人の経験だけに依存せず、公開されたセキュリティ基準やテストガイドを参照して評価観点を整理することが重要です。CyberCrewでは、対象システムや診断範囲に応じて、OWASPなどが公開するセキュリティリスク、検証要件、テスト手法を参照し、診断・テスト品質の向上に活用します。
OWASP Top 10
Webアプリケーションにおける重要なセキュリティリスクを整理したOWASPの啓発文書です。
OWASP公式サイトを見る ↗
OWASP ASVS
Webアプリケーションの技術的なセキュリティ対策を検証するための要件を体系化した標準です。
OWASP公式サイトを見る ↗
OWASP Testing Guide
Webアプリケーションのセキュリティテストに関する手法を体系的に整理したガイドです。
OWASP公式サイトを見る ↗
各種規制
取り扱う情報や事業分野によって求められる法令・セキュリティ基準を踏まえ、診断範囲をご相談いただけます。
参考：IPA「安全なウェブサイトの作り方」
Webサイトの脆弱性と対策について、IPAが公開している実務資料です。
IPA公式サイトを見る ↗
診断・テストで確認された問題について、技術担当者による修正と、セキュリティリスクの判断に活用できるレポートを納品します。検出された問題の内容だけでなく、想定される影響や再現手順、推奨される対応などを整理します。
エグゼクティブ・サマリー
診断結果の概要、全体的なリスク、優先的に確認すべき問題を整理します。
テクニカルレポート
脆弱性の内容、影響を受けるシステムやページ、問題の詳細、修正方法などを記載します。
再現手順・証跡
検出された問題について、確認内容や再現手順、取得した証跡を整理します。
リスク評価
脆弱性の深刻度や想定される影響を整理し、対応優先度を判断するための情報を提示します。
報告会・質疑応答
報告書の内容をご説明し、検出事項や修正方針に関するご質問に対応します。
ご相談から診断・テスト、レポート納品、再テストまで、対象範囲と実施条件を確認しながら進行します。
STEP
01
無料相談・ヒアリング
診断対象となるWebアプリケーションや、現在抱えている課題、確認したいリスクを整理します。
STEP
02
対象範囲の確認・お見積り
URL、機能、ユーザー権限、API、テスト環境などを確認し、対象範囲と実施方法をご提案します。
STEP
03
実施条件・スケジュールの決定
実施期間、対象範囲、禁止事項、連絡体制などを整理し、診断開始に向けた準備を行います。
STEP
04
Webアプリケーション診断・テスト
合意した範囲と条件に基づき、セキュリティ専門家が診断・テストを実施します。
STEP
05
レポート納品・報告会
検出事項、想定される影響、修正方法などを整理したレポートを納品し、必要に応じて報告会を実施します。
STEP
06
再テスト
修正された脆弱性について、対象範囲を確認した上で再テストを実施します。
実施期間は、対象となる機能数、API、ユーザー権限、診断・テスト方法などによって異なります。お見積り時にスケジュールの目安をご案内します。
Webアプリケーション診断やペネトレーションテストをご検討いただく際に、よく寄せられるご質問をまとめています。費用や診断内容、検査項目など、ご不明な点がございましたらお気軽にご相談ください。
Webアプリケーション診断の費用は、対象となる画面や機能、API、ユーザー権限、認証方式、診断方法などによって異なります。小規模なWebサイトと、複数の権限や外部連携を持つSaaSでは、必要となる調査範囲や工数が大きく異なるためです。CyberCrewでは、脆弱性診断やペネトレーションテストの対象範囲と目的を確認した上で、実施内容をご提案します。お見積りは無料です。
Webアプリケーション診断は、Webアプリケーションに存在する脆弱性や設定不備を発見し、修正につなげることを主な目的とします。一方、ペネトレーションテストでは、許可された対象範囲と条件のもとで攻撃者を想定した検証を行い、発見した問題が実際の攻撃に利用できるか、複数の問題を組み合わせることで影響が拡大するかを評価します。
認証・認可、入力値検証、SQLインジェクション、クロスサイトスクリプティング（XSS）、セッション管理、アクセス制御、セキュリティ設定、機密情報の露出などを確認します。CyberCrewでは、対象システムの機能や構成、利用者の権限などを確認し、診断範囲に応じて検査項目を設計します。
Webアプリ診断では、ブラウザから利用する画面やログイン、入力フォーム、セッション、ユーザー権限などを含むWebアプリケーション全体を評価します。API診断では、REST APIやGraphQLなどのAPIを主な対象として、認証・認可、オブジェクト単位のアクセス制御、入力値処理などを検証します。
その他の診断サービス
対象環境や評価目的に応じて、各種ペネトレーションテスト・セキュリティ診断サービスをご提供しています。
Webアプリケーション ペネトレーションテスト
WebサイトやWebサービスに特化した侵入テスト。
モバイルアプリケーション ペネトレーションテスト
モバイルアプリの設計、通信、保存領域、認証機構を評価。
クラウド ペネトレーションテスト
AWS、Azure、GCPなどのクラウド環境を攻撃者視点で検証。
ネットワーク ペネトレーションテスト
ネットワークインフラへの不正アクセスリスクを評価。
シナリオ型ペネトレーションテスト
業務や組織構造を踏まえた攻撃シナリオで横断的に評価。
ソーシャルエンジニアリング テスト
人と仕組みを対象に、攻撃への対応力を評価。
大規模言語モデル（LLM）ペネトレーションテスト
LLMシステムに対する攻撃経路や情報漏えいリスクを検証。
脆弱性診断サービス
自動ツールと専門家の評価によりセキュリティ状況を可視化。
