Web アプリケーションのペネトレーションテスト

基礎としての OWASP Top 10 - インジェクション、壊れたアクセス制御、認証の不備、セキュリティ設定の誤り、SSRF など - に加えて、自動スキャナーでは見つけられない業務ロジックの不備を手作業でテストします。壊れたワークフロー、IDOR 型の認可の抜け、価格や数量の改ざん、貴社のアプリケーション固有の複数ステップ処理の悪用などです。

はい。最近のアプリケーションの多くは API 主導であり、興味深い指摘事項はたいてい API 側にあります。オブジェクトレベルの認可の欠落、マスアサインメント、レート制限の抜け、JWT の取り扱いの問題などです。REST や GraphQL の API があれば、後回しにせずフロントエンドと並行してテストします。

手作業のテストです。自動ツール（Burp Suite など）は網羅を速めるために使い、判断の代わりにはしません。業務ロジックの不備、認可のバイパス、連鎖する脆弱性は、シグネチャを照合するスキャナーではなく、アプリケーションの実際の挙動を読む人間が見つけます。

一般的なアプリケーションで営業日 3〜5 日です。対象範囲のロール数、ワークフロー数、API エンドポイント数によります。利用者ロールが複数あるアプリケーションや権限モデルが複雑なものはより長くかかります。正確なスケジュールは書面のご提案で確定します。

はい。むしろそのほうが望ましい場合が多くあります。ステージングが本番の忠実な複製であれば、実際のお客様データへのリスクを避けつつ、本物のアプリケーションロジックをテストできます。合意した実施規則の枠内であれば、本番でのテストも問題ありません。

Web アプリケーションテストは 500 ドルから始まり、アプリケーション内のロール数、ワークフロー数、エンドポイント数に応じて決まります。テスト開始前に書面の固定価格をお渡しします。詳しくは料金ページをご覧ください。