この記事のポイント価格の有無だけで診断の内容は決まりません。対象、手法、必要な権限、成果物を確認し、いま知りたいことを調べられるサービスを選ぶのが出発点です。
01 公開されている情報から分かること
Webサイトは、閲覧のための情報を外部へ公開しています。通常のレスポンスや公開設定を確認することで、設定上の懸念や利用技術の手がかりを把握できる場合があります。
ただし、外部から取得できる情報には限りがあります。公開情報に問題が見つからなかったことは、ログイン後の機能や内部の処理まで安全であるという意味ではありません。
- どのURLや公開資産を調べたのか
- 確認方法は公開情報の調査か、入力を伴う検査か
- 情報を取得できなかった項目が区別されているか
02 能動検査で確かめること
能動検査では、合意した対象へ入力を送り、その応答を確認します。WebやAPIの機能に応じて、入力の扱いやヘッダーなどを検証します。対象への実施許可と、影響を抑えるための環境・テストデータの準備が必要です。
PENVISTAのWeb・API診断は、指定された検証環境を対象にします。外部から入力と応答を調べるブラックボックス方式で、実装コードを全面的に監査するサービスではありません。
03 申込み前に、この4点を確認する
診断サービスを比較するときは、以下の項目を同じ条件で並べます。「詳細診断」「自動診断」といった名称だけでは、実施範囲は揃いません。
- 対象：画面、API操作、公開IPのどこまでが含まれるか
- 認証：ログイン後や複数権限の検証に対応しているか
- 成果物：検出結果だけか、根拠・影響・修正案まであるか
- 実施後：質問対応と再診断の条件が明示されているか
04 結果を、次の判断に使う
最初の点検で公開面の懸念を整理し、必要な対象を絞って詳しい検査へ進む方法もあります。大切なのは、どの検査でも「調べた範囲」と「調べていない範囲」を残すことです。
PENVISTAは有料の診断サービスです。無料の見積もり作成はできますが、無料診断を提供する案内ではありません。何を調べるべきか決まっていない段階でも、対象と目的をご相談いただけます。
参考資料
技術や運用の考え方は以下の資料も参照してください。PENVISTAの提供範囲・料金は、当サイトのサービス案内と販売条件に従います。