ペネトレーションテストサービスに戻る
事例 1
エンタープライズインフラの脆弱性診断（VAPT）
シンガポールの金融サービス企業
企業の社内管理システムを対象に、Web アプリケーション、データベース、バックエンドサーバーを網羅した脆弱性診断とペネトレーションテストを実施しました。
7
脆弱性
1
緊急
5
高
100%
是正済み
プロジェクト概要
業種
金融サービス
テストの種類
ブラックボックス・グレーボックス VAPT
期間
3 週間
課題と目的
課題
レガシー技術と最新技術が混在する複雑なアーキテクチャで、設定ミスや古いコンポーネントが生じやすい状態でした。
目的
- ブラックボックスとグレーボックスによる詳細なペネトレーションテストを実施する
- 脆弱性を特定し、深刻度別に分類する
- 詳細な是正ガイダンスを提供する
手法
01
情報収集
システムアーキテクチャを分析し、テスト範囲を定義
02
脆弱性分析
自動スキャンと手動検証を組み合わせて実施
03
攻撃による検証
緊急・高の脆弱性について悪用可能性を検証
04
レポート作成
是正ガイダンスを含む詳細なレポート
主な指摘事項（脆弱性 7 件）
緊急
SQL インジェクション（CWE-89）
機密データへの不正アクセス、改ざん、削除が可能な状態でした。
影響：データベース全体の侵害
高
ハードコードされたパスワード（CWE-259）
管理者の認証情報がソースコードにハードコードされていました。
影響：管理者権限への不正アクセス
高
権限昇格（CWE-264）
一般ユーザーが管理者に権限を昇格できる状態でした。
影響：システム全体の制御
高
認証の欠如（CWE-306）
重要な機能に認証なしでアクセスできる状態でした。
影響：無制限のアクセス
高
ソースコードの漏えい（CWE-200）
アプリケーションのソースコードが露出しており、さらなる攻撃につながる状態でした。
影響：知的財産の窃取
高
機密情報の漏えい（CWE-497）
デバッグモードによりシステム情報が露出していました。
影響：攻撃対象領域の拡大
中
古いフレームワーク（CWE-1352）
既知の脆弱性を持つ古いフレームワークが使用されていました。
影響：既知の攻撃手法による悪用
提供した価値
リスクの低減
お客様は緊急・高の脆弱性を 100% 是正しました
セキュリティの強化
Secure SDL に関する推奨事項を導入しました
コンプライアンス
社内のセキュリティ監査に向けてシステムの準備を整えました