よくある質問
Webアプリケーション診断
料金・お見積もり
- Q予算に合わせて診断範囲を絞ることはできますか？どこを優先すべきですか？
- A
可能です。認証や決済など重要度の高い機能を最優先、個人情報を取り扱う機能を次点として優先順位を設定し、ご予算に応じて診断範囲を調整します。
- Q見積もりはどのように決まりますか？
- A
診断対象となる画面遷移やAPIの「リクエスト数」を基準に見積りを算出します。動的な遷移の数やURL数を診断対象のリクエスト数としてカウントし、対象範囲が確定した時点で正式なお見積りをご提示します。
- Q画面遷移図がなくても見積もりはできますか？
- A
画面遷移図がない場合でも、デザインデータをご提供いただければ概算のお見積りを算出できます。
ただし、あくまで概算のため、正式なお見積りには画面遷移図やAPI一覧など、より詳細な資料の提出をお願いする場合があります。
診断の必要性
- Qサイトが小規模でも脆弱性診断は必要ですか？
- A
規模に関わらず診断を推奨しています。サイト規模が小さくても、保有する情報や機能によっては情報漏えい等のリスクがあるためです。
- Qセキュリティ機器（WAF/IPS等）を導入済み・システム会社に委託済みでも診断は必要ですか？
- A
はい、必要です。WAFやIPS等を導入していても、設定次第では攻撃者に侵入されるリスクが残るため、機器の有無に関わらず脆弱性の有無を確認することを推奨しています。システム開発を委託されている場合も、開発エンジニアとセキュリティ診断の専門エンジニアでは知見が異なるため、「対策」と「診断」は別物としてご実施いただくことをお勧めします。
診断内容
- QWebアプリケーションの脆弱性診断にAIは使われていますか？
- A
当社独自のAI基盤「AIホワイトハッカー byGMO」を使用しています。
大規模AIモデル（フロンティアAI）に、AIの動作を制御・検証する独自のハーネスと、世界トップクラスのホワイトハッカーが実戦で培ってきた知見を組み合わせた基盤です。特定のAI企業・サービスとの提携によるものではなく、当社独自に開発したAIモデル、または一般に利用可能なフロンティアAIモデルを活用しています。AI診断エンジンは、対象サイトの探索、テスト方法の決定、脆弱性の検出、検出結果の再確認、報告書の作成までをAIエージェントが順に実行します。さらに、脆弱性を検出したAIとは別の検証用AIが同じ操作を試し、実際に再現できるかを確認します。
そのうえで、診断対象の選定、対象外URLや禁止操作へ進ませないための実行条件の設定、AIだけでは判断が難しい結果の精査は、ホワイトハッカーが担当します。詳しくはAIホワイトハッカー byGMOとは？をご覧ください。
- Qシステムを改修した場合、再診断は必要ですか？検証環境で実施済みなら本番では簡略化できますか？
- A
改修部分については再診断をお勧めしています。検証環境で診断済みの場合、本番環境のデータ構成が検証環境と同等であれば、事前調査を簡略化できる場合があります。データ構成が異なる場合は改めて事前調査が必要になることがあります。
- Q見つかった脆弱性は外部に公開されますか？
- A
診断で発見した脆弱性を弊社から無断で外部に公開することはありません。ただし、既に公開されている製品に影響する脆弱性については、IPA等への報告を推奨する場合があります。報告を行う場合は、お客様の許可を得たうえで弊社が代行することも、お客様自身で対応いただくことも可能です。
- Q診断後の再診断や質問対応はしてもらえますか？
- A
オプションで修正後の再診断に対応しています。診断結果に関するご質問にも対応します。
- Q大量アクセスを伴う負荷試験（DoS）も含まれますか？
- A
大量のアクセスを伴う本格的な負荷試験は基本的に含まれません。ただし、不正に加工したリクエストによって過大な負荷がかかるかを確認する診断項目はあります。負荷試験そのものが必要な場合は、提携企業をご紹介することも可能です。
- QECサイトなど決済機能がある場合、どのような観点でテストされますか？
- A
商品の数量や金額の不正操作、クーポン・プレゼント機能の不正利用、購入キャンセル処理の不正操作など、決済に関連する機能について確認します。ポイント制度がある場合はポイントの決済処理も同様に確認します。
- Qログイン機能がある場合、認証・認可に関する脆弱性はどこまで確認できますか？
- A
ログインからログアウトまでの範囲で、セッション管理やログインなしでアクセスできてしまうページがないかなどを確認します。ただし、ログイン後の画面にアカウントなしで直接アクセスできないか、利用者Aが利用者Bの情報を取得できてしまわないかといった「認可」の確認は、動的な遷移すべての検証が必要となるため、ログイン機能の診断だけでは十分に確認できない場合があります。範囲についてはご相談のうえ決定します。
- Qどのような種類の脆弱性を検出できますか？
- A
SQLインジェクションやクロスサイトスクリプティング(XSS)、OSコマンドインジェクションなど、OWASP Top10に準拠した項目を診断します。例えばファイルアップロード機能がある場合は、不正なファイル形式のアップロードによるサーバー乗っ取りや罠ページ設置といった脆弱性の有無を確認します。
診断対象
- Qログイン機能があるWebアプリケーションも診断できますか？
- A
はい、診断可能です。ログインからログアウトまでの範囲でセッション管理や認証の不備などを確認します。
- Q開発中で外部に公開していないWebアプリも診断できますか？
- A
可能です。全てのプランで検証環境の診断に対応しています。
- Qクライアントサイド（アプリ内に埋め込まれたAPIキー等）の脆弱性も対象になりますか？
- A
ベストエフォートでの対応となりますが、ソースコードを確認しながらの診断が可能です。例えば、本来公開すべきでないAPIキーがソースコード内にハードコーディングされていないかなどを確認します。
- Q使用しているフレームワークやOSS自体の脆弱性も見てもらえますか？
- A
基本的に含まれますが、使用しているフレームワークやOSSの種類によって対応可否が異なる場合があります。詳細は事前にご相談ください。
- QCAPTCHAや二要素認証を導入していても診断できますか？
- A
CAPTCHAやSMSによる二要素認証などの防御機構は、診断ツールが正常に動作せず網羅的な診断ができなくなるため、診断期間中は一時的な解除をお願いしています。解除が難しい場合は、期間内での手作業によるベストエフォート診断となります。
- QGraphQL・gRPC・WebSocketを使ったアプリも診断できますか？料金や工数は変わりますか？
- A
いずれも診断は可能です。通常のHTTPリクエストと異なり、ツールによる自動診断が難しく手動対応が必要になるため、通常より工数がかかる場合があります。具体的な見積りは仕様書（protoファイル、スキーマファイル等）をご提供いただいたうえでご案内します。
- Q決済代行やGoogle Map等、外部サービスと連携している部分も診断対象になりますか？
- A
他社が公開しているAPI自体は診断対象外です（例：決済代行会社の決済用API、Google Mapの連携用API）。診断対象は自社で開発・管理している資産です。外部サービスとの連携部分において自社側の実装に問題がないかは診断対象に含めることができます。
- QShopifyなどSaaS型プラットフォームで作ったサイトも診断できますか？
- A
プラットフォームによっては、多くのリクエストを送信した際にアクセスが制限され、診断が円滑に進まない場合があります。このような場合は、ソースコードを確認する診断など別の手法をご提案します。
事前に診断許可申請が必要な場合もあります。
診断前の準備
- QAPI診断を依頼する場合、何を準備すればよいですか？
- A
APIの対象一覧（メソッド・URL単位）をご提供いただければお見積りが可能です。クライアント実装がないAPIの場合は、正常に疎通確認できるリクエスト・レスポンスの情報やAPI仕様書もご提供いただくことで、より精度の高い診断が可能になります。仕様書がない場合でも診断自体は可能です。
- QAWS等のクラウド上で運用しているサイトでも、事前申請なしで診断できますか？
- A
AWSが許可している診断行為であれば事前申請は不要です。ただしAWSが禁止している行為（DDoSシミュレーション、リクエストフラッディング等）に該当する場合は実施できません。クラウド環境がベンダー管理の場合は、事前にお客様からベンダーへご確認いただく必要があります。
運用中のサービスに対する診断
- Q診断期間中、開発や他のテストを止める必要はありますか？
- A
他のテストや開発と並行して進めていただくことは可能です。ただし診断中にソースコードを変更すると、脆弱性が診断によるものか変更によるものか判断できなくなるため、変更は控えていただくことを推奨しています。負荷試験との同時実施は診断精度が下がるため推奨していません。
- Q診断によってサイトに障害が起きるリスクはありますか？
- A
脆弱性診断は悪意ある攻撃を模した通信を行うため、システムへの影響を完全にゼロにすることはできません。
特に独自開発のWebアプリケーションでは、実装内容によって疑似的な攻撃が障害につながる可能性も否定できません。そのため、本番環境ではなく検証環境やステージング環境での実施を推奨しています。
- Q診断中、サイトへの負荷やアクセス集中は起きますか？
- A
診断中は本番環境で1秒あたり3〜5リクエスト、テスト環境で1秒あたり5〜10リクエスト程度のアクセスを継続的に行います。負荷テストやDDoS攻撃のような同時大量アクセスは行いません。一般的な通信量としては1Mbps程度あれば問題なく実施できます。
その他
- Q報告書のサンプルを事前に確認できますか？
- A
はい、各種報告書サンプルをご用意していますのでお問い合わせください。
- Qどのくらいの頻度で診断すべきですか？
- A
ツールによる自動診断ではベストは毎日、手動診断では四半期〜1年ごと、大型アップデート前に行うことを推奨しています。