業務内容
Webアプリケーションに対し、セキュリティエンジニアが手動診断とツール診断を合わせて実施し、
システムに内在する脆弱性やサービス設計上のリスクを網羅的に洗い出します。
主な診断項目
・インジェクション診断
SQLインジェクション、クロスサイトスクリプティング、OSコマンドインジェクション等
入出力に関する部分を診断いたします。
・認証に関する診断
ログイン・ログアウト機能、認証を回避できるかなどを診断いたします。
・認可に関する診断
権限昇格、アクセス権限が無いページへのアクセスができないかなどを診断いたします。
・セッション管理に関する診断
クロスサイトリクエストフォージェリ、セッション管理に使用されている情報に
不備が無いか診断いたします。
・情報漏洩につながる項目に関する診断
設定上情報漏洩につながる可能性があるものが無いか診断いたします。
・その他一般的な脆弱性や設定の不備に関する診断をいたします。
----------セキュリティ診断の流れ----------
■ヒアリング
・ご要望やご予算に応じて、診断範囲等を調整いたします。
・お客様の抱える課題や開示いただける情報をお聞きいたします。
・必要なアカウントの準備やアクセスの設定をお聞きいたします。
・サービスのローンチ前までに終わらせたい等、診断の日程について調整いたします。
■お見積り
・ご共有いただいた情報やリクエスト、納期に応じてお見積金額を決定いたします。
■診断
・診断対象となるWebアプリケーションやサーバーを診断いたします。
・エグゼクティブサマリ、問題点や対策をまとめた脆弱性診断報告書を作成いたします。
■ご報告
・脆弱性診断報告書をベースに診断で発見された項目についてのご報告を行います。
その他ご不明点・ご相談等ございましたら、お気軽にメッセージをいただけますと幸いです。
- 業務
- 脆弱性評価
- 専門知識
- プライバシー 監査 構成管理 リスクアセスメント 脅威インテリジェンス
- テクノロジー
- ファイアウォール ネットワーク Webアプリケーション
基本料金
オプション料金
実績・評価
3 件
満足
0
残念
出品者
30日前以上
[セキュリティ対策・脆弱性診断・サーバーに関するお困りごと]について、是非ご相談ください。
-
3 件 満足0 残念
- 本人確認
- 個人
プロフィールを見ていただきありがとうございます。
【自己紹介】
ネットワークセキュリティ関連企業のテクニカルマネージャーです。
・社内セキュリティ対策・運用支援(SOC , ログ解析 , ポリシー策定等)
・セキュリティ機器選定支援（FW , IPS , WAF , 資産管理等）
・技術チームと他部署との円滑な業務遂行を行いたい
・Linuxや社内セキュリティでお困り事のご相談
・Webアプリケーションのエラー等のご相談
等のお力添えができるかと思います。
メインでは無くなりましたが、Railsを利用したWebアプリ開発も可能です。
【業務について】
主に下記業務を担当しています。
・他社との調整・新サービスデザイン時の連携
・他部署間の情報共有・調整
・ネットワークセキュリティ製品の設計・開発
・セキュリティ対策支援
・ 脆弱性診断調査・報告
・ ログ解析・セキュリティコンサルティングレポート作成・報告
・５〜8名程度のマネジメント
【稼働について】
稼働につきましてですが、
・日中の作業は本業と同時にお力添えをさせていただく形となります。
夜間の作業時間は確保可能です。
・メールやSlack等での連絡は日中、深夜土日問わずいつでも可能です。
・zoom等を利用したミーティングにつきましては、基本的に平日18時以降、
または土日でお願いしております。
ご相談からご依頼までお気軽にお申し付けください。
よろしくお願いいたします。
よくある質問
- 同じページですが、IDで表示が変わるものは1カウントになりますか？
- ID等で表示内容が変わり、同一構成のページであった場合はまとめて1リクエストとなります。 例) ・comment/[id]のような構成はcomment/として1リクエスト ・tag/[id]/commentのような構成はtag/*/commentとして1リクエスト
- アクセス制限を行っている環境でも大丈夫ですか？
- 診断環境からWebアプリケーションに対して接続ができる環境にしていただく必要がございます。 WAFやFW等を設定されている場合は、診断環境のIPアドレスをホワイトリストに入れていただくことを推奨しております。
- リクエスト数はどのようにカウントしますか？
- Ｗebアプリケーションのリクエスト・パラメータについて事前に情報をご提供いただく場合や、当方でWebアプリケーションの事前調査を行い、取得したリクエスト数をご共有して決定することも可能です。
- 本番環境で診断が必要ですか？
- 診断時に多数の情報が登録されることや、システムの動作にに影響が発生する可能性があるため、ダミーデータを入れたテスト環境やステージング環境等での実施を推奨しております。
注文時のお願い
・内在するすべての脆弱性を発見する保証をするものではありません。
・報告書に記載した推奨対処方法につきましては、結果を保証するものではありません。
・プロバイダやサービスプラットフォームの事情により、診断が中断する可能性がございます。
・脆弱性診断実施後に発見された脆弱性につきましては、本診断の責任対象外とさせていただきます。
・診断により万が一損害賠償を伴う事象が発生した場合、責任限度はサービス代金の総額を超えないものといたします。
