Webアプリ脆弱性診断・セキュリティ診断
Webアプリケーション、サーバー・クラウドの設定、利用しているライブラリを点検し、見つかった問題を危険度と優先順位を付けてご報告します。「何が危ないのか」「何から直すべきか」を経営層の方にも伝わる形でまとめ、修正と再診断まで対応します。
緊急PHPの重大な脆弱性（PHP2Shell）への対応は PHP脆弱性対策の特設ページ へ
- 対象
- Webアプリケーション／API／サーバー・クラウド設定／依存ライブラリ
- 診断観点
- OWASP Top 10 などを参考にした確認項目
- 方法
- ツールによる確認と手作業による確認の組み合わせ
- 報告
- 危険度・再現条件・修正方法／経営層向けサマリー
- 対応地域
- 東京・世田谷拠点／全国オンライン対応
- ご相談
- 相談・見積り無料（要件により個別見積り）
01こんな課題に
こんな課題はありませんか
セキュリティ診断は、問題が起きてからではなく、起きる前に弱いところを知るためのものです。次のような場面でお役に立てます。
- 01取引先や親会社から、セキュリティ対策の状況を確認されて説明に困っている
- 02公開しているWebサイトやWebアプリに脆弱性がないか、一度きちんと確認したい
- 03新しいシステムのリリース前に、第三者の目でチェックしてほしい
- 04サーバーやクラウドの設定が適切か、長いあいだ点検していない
- 05利用しているライブラリやプラグインに、既知の脆弱性がないか分からない
- 06以前診断を受けたが、報告書が専門的すぎて修正につなげられなかった
02提供内容
セキュリティ診断の提供内容
診断して報告するだけでなく、修正と再確認まで一貫してご支援できることが特長です。
Webアプリケーション脆弱性診断
OWASP Top 10 などを参考に、ツールと手作業を組み合わせて、入力値の扱い、認証・セッション管理、アクセス制御などを確認します。
サーバー・クラウド設定の点検
OS・ミドルウェアのバージョンと設定、公開しているポート、権限、暗号化、ログの設定などを点検し、不要な公開や設定の不備を洗い出します。
依存ライブラリ・CMSの点検
フレームワーク、ライブラリ、WordPressのプラグインなどについて、既知の脆弱性とサポート状況を確認します。
診断報告書・経営層向けサマリー
発見事項ごとに危険度、再現条件、具体的な修正方法を記載します。あわせて、技術に詳しくない方にも全体像が伝わるサマリーをお渡しします。
修正支援・再診断
優先順位にもとづく修正方針をご提案し、ご希望に応じて修正作業も担当します。修正後には再診断を行い、問題が解消されたことを確認します。
WAF導入・設定の見直し
修正が完了するまでの間のリスクを下げるため、WAFの導入やルールの見直しを支援します。
03進め方
診断の進め方
事前に診断範囲と方法を取り決め、本番環境への影響に配慮して実施します。
-
ヒアリング
対象システム、診断の目的、公開状況、気になっている点を伺います。
-
範囲と方法の合意
診断範囲、実施日時、連絡体制、本番環境への配慮事項を診断計画書にまとめ、事前に合意します。
-
診断の実施
ツールと手作業を組み合わせて、アプリケーション・設定・ライブラリを確認します。
-
報告
発見事項を危険度順に整理し、修正方法と優先順位をご説明します。
-
修正・再診断
修正を支援し、修正後に再診断を行って解消を確認します。
セキュリティ診断は、診断を行った時点・範囲で確認できた問題をご報告するものであり、脆弱性がまったく存在しないことを保証するものではありません。新しい脆弱性は日々公表されるため、定期的な点検や、運用保守の中での継続的な確認と組み合わせることをおすすめします。
04対応技術
主な診断対象と観点
対象のシステムと目的に合わせて、確認する範囲と観点を選びます。
| アプリケーション | Webアプリケーション、API、管理画面 |
|---|---|
| 診断観点 | OWASP Top 10 などを参考にした確認項目（入力値の扱い、認証・セッション管理、アクセス制御など） |
| サーバー・設定 | Linux、Apache、nginx、PHPの設定 |
| クラウド | AWS、Google Cloud、Cloudflareの設定 |
| 依存関係 | フレームワーク、ライブラリ、CMSのプラグイン |
| 防御 | WAFの導入・ルールの見直し |
05体制と強み
診断の体制と私たちの強み
東京都世田谷区を拠点とするエンジニアチームです。お打ち合わせはWeb会議とメールで行うため、全国どこからでもご依頼いただけます。
Technicolor、アリババ（Alibaba）、レノボ（Lenovo）、H3Cなど、大手企業での勤務経験を持つエンジニアが在籍しています。
大手企業出身のエンジニア
大規模サービスの開発・運用で培った知見をもとに、攻撃を受けやすい箇所を見極めます。
専門性の高いチーム
開発とインフラの両方に通じたメンバーが、アプリケーションと設定をまとめて点検します。
最新技術への対応
新たに公表される脆弱性や攻撃手法の動向を踏まえて、確認の観点を更新します。
迅速な対応
危険度の高い問題が見つかった場合は、報告書の完成を待たずに速やかにお知らせします。
長期の運用保守
修正後の再診断や継続的な点検まで、長期的にお支えします。
06よくある質問
セキュリティ診断のよくあるご質問
どこまでを診断の対象にできますか？一部分だけでも依頼できますか？
公開しているWebサイトやWebアプリケーション、API、管理画面のほか、サーバーやクラウドの設定、利用しているライブラリが対象です。すべてを一度に診断する必要はなく、ログイン画面や決済まわりなど重要度の高い画面・機能に範囲を絞って小さく始めることもできます。
診断の費用はどのように決まりますか？
対象となる画面や機能の数、APIの有無、サーバー・クラウド設定の点検を含むかどうか、手作業で確認する範囲などによって変わるため、要件により個別にお見積りします。ご相談とお見積りは無料です。
診断にはどれくらいの期間がかかりますか？本番環境への影響はありますか？
対象の規模と診断範囲、検証環境を用意できるかどうか、実施できる日時の制約などで変わります。本番環境で実施する場合は、事前に実施日時と方法を合意し、影響に配慮して進めます。
診断結果や社内の情報の取り扱いが心配です。
診断の前に秘密保持契約（NDA）を締結できます。診断結果やシステムの情報は、合意した目的の範囲でのみ取り扱います。
PHPの脆弱性（PHP2Shell）が心配です。この診断で対応できますか？
PHP2Shell（CVE-2026-109618、CVE-2026-109619）は緊急性が高いため、PHPのバージョン確認と修正版への更新を優先する専用の対応メニューをご用意しています。詳しくはPHP脆弱性対策の特設ページをご覧ください。
08ご相談
セキュリティ診断のご相談はお気軽に
「何を診断すればよいか分からない」という段階からでも大丈夫です。システムの状況を伺い、目的に合った診断範囲をご提案します。ご相談・お見積りは無料です。