ペガサスチャイナのサーバーをご契約のお客様は、年1回の脆弱性診断を無料でご利用いただけます。
外部からのスキャンだけでなく、サーバー内部のソースコードを読み取る「内部解析型」です。
内部解析型という違い
外から叩く診断では、見えないものがたくさんあります。
図：ソースコードの内部解析による脆弱性診断の流れ
一般的な診断
外側からのスキャン
ポートの開閉、HTTPレスポンス、既知のシグネチャを外側から確認します。
導入が簡単で、誰でも実施できる反面、サーバーの中で何が起きているかは分かりません。
- 設定ファイルに書かれたDBパスワードの平文
- 認証キー・ソルトの短さや使い回し
- 入力値がそのままSQLに渡っている箇所
- すでに設置された不正ファイル（侵害痕跡）
これらは、外から正常な応答を返している限り検出できません。
ペガサスチャイナ
内部解析型
サーバー内部に入り、ソースコードを関数（ファンクション）単位まで読み取ります。
どこで入力を受け取り、どこで処理し、どこで出力しているか。その流れを追うことで、
外からは見えないリスクを特定します。
- パーミッション・所有者の不備
- DB認証情報の平文保存、リポジトリへの混入
- 認証キー・ソルトの弱さ、セッション管理の欠陥
- 未サニタイズなパラメーター（SQLインジェクション等）
- 侵害痕跡（不審なファイル・cron・SSH鍵）
リスクは3段階で判定します
「直すべき順番」が分かるレポートをお渡しします。
| 判定 | 意味 | 対応の目安 |
|---|
| 高 |
すでに悪用可能な状態。認証情報の漏洩やコード実行につながるもの |
速やかに修正。公開を一時停止することも検討 |
| 中 |
条件が揃えば悪用できるもの。設定の不備・古いライブラリなど |
1〜2週間以内に修正 |
| 低 |
直接の被害には結びつきにくいが、望ましくない実装・設定 |
次回の改修に合わせて修正 |
料金
サーバーをご契約のお客様は、年1回無料です。
ご契約者様
年間契約に付帯
VPSサーバー・共有サーバーの年間契約のお客様
¥0 / 年1回
- 内部解析型の診断（1サイト）
- リスクの3段階判定レポート
- 修正項目の優先順位づけ
- レポートに対する質疑応答（1回）
診断を依頼する
単発でのご依頼
他社サーバー・すでに運用中のサイトにも
¥4,000 / 1回（RMB）
- 内部解析型の診断（1サイト）
- リスクの3段階判定レポート
- 修正項目の優先順位づけ
- 修正作業の見積もり（ご希望の場合）
見積もりを依頼する
※ 他社サーバーの場合、診断にはサーバーへのアクセス権限（SSH または管理画面）が必要です。
診断の流れ
お申し込みから、レポートのお渡しまで。
-
お申し込み・ヒアリング
対象のサイト、サーバーの構成、気になっている点をお聞きします。診断範囲（対象サイト数、対象外の領域）をあらかじめ合意します。
-
アクセス権限のご準備
SSH または管理画面のアクセス情報をご用意いただきます。作業はアクセスログを取得したうえで実施し、終了後に権限を返却します。
-
内部解析（2〜5営業日）
ソースコードの読み取り、設定ファイル・パーミッションの確認、侵害痕跡の照合を行います。必要に応じて外部からのスキャンも組み合わせます。
-
レポート提出
検出したリスクを高・中・低に分類し、該当箇所と修正方法をまとめたレポートをお渡しします。日本語で記載します。
-
ご説明・修正のご相談
レポートの内容をご説明します。修正作業は別途お見積もりとなりますが、優先順位と概算費用はこの時点でお伝えします。
診断にあたっての注意事項
- 診断は、お客様が管理権限を持つサーバー・サイトに限ります。第三者が運営するサイトはお受けできません。
- 負荷のかかる検査は行いません。サービスに影響が出る可能性がある検査は、事前にご相談のうえ実施します。
- 診断で得た情報は、本サービスの目的以外に使用しません。秘密保持契約の締結にも対応します。
- 修正を伴わない診断では、リスクが残ったままとなります。レポートの提出をもって診断完了となります。
まずは無料診断から
サーバーをご契約中のお客様は、年1回の無料診断をご利用いただけます。現在の状態を一度確認してみませんか。
お問い合わせはこちら
