AWS・Google Cloud・Azure診断
パブリッククラウド固有のセキュリティ診断を提供します。構成や設定ミスを洗い出す診断を中心に 外部から直接アクセス可能な範囲の診断やクラウドにデプロイされているアプリケーションも加えてのペネトレーションテストなどご希望やご予算に合わせたご提案が可能です。
脆弱性はアプリケーションの実装やプラットフォームのみに存在するわけではありません
近年多くの企業でパブリッククラウドやプライベートクラウドを活用しサービスを提供しているという事例を目にします。しかし、これらサービスにおいて設定のミスが起因となるインシデントが近年話題としてあがることがあります。
すなわち、アプリケーションやOS、ミドルウェアのセキュリティ対策が万全であっても利用しているクラウド起因で情報漏洩などのインシデントにつながる可能性があるのです。
クラウドの設定ミスが最も大きな脅威
(ISC)²が公開した2020 CLOUD SECURITY REPORTにおけるアンケート調査で、68%の回答者が使用しているクラウドサービスの設定ミスを最も大きな脅威として挙げました。前年度の調査では3番目の脅威だったところから、大きくその認知を高めました。
診断可能なクラウドサービス
サービス概要
AWS・Google Cloud・Azureなどのパブリッククラウドを利用する中で、責任共有モデルのような提供者と利用者の責任分解の原則に基づき、利用者はコンポーネントが提供する設定を利用用途に合わせて設定しなければなりません。しかし、この設定において不備があると、ユースケース上で意図していない動作ができてしまう場合や、保存しているデータが公開されてしまう恐れがあります。
本サービスでは、そのような設定の不備を事前に把握するためにパブリッククラウドが提供するコンポーネント固有の観点についてセキュリティ診断を提供します。
AWS・Google Cloud・Azureの主な診断観点と、Webアプリケーション診断・スマートフォンアプリケーション診断・プラットフォーム診断との診断対象の違いは以下をご覧ください。
※上図はAWSを使用している場合の例です。
診断観点(AWS)
| Cognito |
|
|---|---|
| S3 |
|
| Dynamo DB |
Cognito ID Pool を利用したFGAC(Fine-Grained Access Control)の検証 |
| Lambda |
イベント通知により動作する Lambda の動的/静的なセキュリティ診断 |
※一例として表記しており、他の診断観点についてもご相談いただけます。
診断をご利用いただいた開発組織のみなさま
株式会社タイミー
「開発者フレンドリー」な診断体験が決め手。柔軟なコミュニケーションで定型メニューの枠を超え潜在リスクを洗い出す
「開発者フレンドリー」な診断体験が決め手。柔軟なコミュニケーションで定型メニューの枠を超え潜在リスクを洗い出す
ファインディ株式会社
SOC2 Type2の効率的な取得のためShisho Cloudのクラウド診断を活用。SaaSのグローバル展開を加速
SOC2 Type2の効率的な取得のためShisho Cloudのクラウド診断を活用。SaaSのグローバル展開を加速
株式会社Leaner Technologies
Leaner見積・Leaner購買のWebアプリケーション＋AWS診断 「高い技術力による手動診断」が依頼の決め手に
Leaner見積・Leaner購買のWebアプリケーション＋AWS診断 「高い技術力による手動診断」が依頼の決め手に
株式会社ナレッジワーク
「ナレッジワーク」のWebアプリ＋GCP＋Firebase診断 診断報告に開発者から「多数の喜びの声」
「ナレッジワーク」のWebアプリ＋GCP＋Firebase診断 診断報告に開発者から「多数の喜びの声」
Anique株式会社
NFTサービスのセキュリティ診断を実施。「ロールバックできないブロックチェーンだからこそ入り口を固める必要がある」
NFTサービスのセキュリティ診断を実施。「ロールバックできないブロックチェーンだからこそ入り口を固める必要がある」
株式会社SmartHR
GCPへの大規模移行に伴いセキュリティ診断を実施。クラウドとアプリケーションはセットで診断すべきと考えていたのでChainopticを選んだ
GCPへの大規模移行に伴いセキュリティ診断を実施。クラウドとアプリケーションはセットで診断すべきと考えていたのでChainopticを選んだ
サンプル報告書のダウンロード
技術ブログ公開中
AWSを題材にクラウド環境のセキュリティに関する技術ブログを公開中です。ぜひご覧ください。
https://blog.chainoptic.io/entry/cloud_security_aws_case
https://blog.chainoptic.io/entry/lambda_and_serverless_security
https://blog.chainoptic.io/entry/s3_security
上記以外にも、弊社はクラウドに関するブログを随時公開しています。以下から確認できますので、ぜひご覧ください。
よくある質問
- Q.
どのような診断を行いますか？
A.各種ガイドラインやクラウドベンダーが公表しているベストプラクティスをベースに診断を実施します。 診
断対象にアプリケーションも含める場合はアプリケーションの動作を踏まえた上での診断を実施することも
可能です。 - Q.
診断手法はどのようなものがありますか？
A.本ページでは主に設定ミスのチェックを紹介しておりますが、ブラックボックス診断やホワイトボックス診断、ペネトレーションテストなどご予算やご要望に合わせて診断を提案致します。
- Q.
Webアプリケーション診断など他の診断と組み合わせることは可能ですか？
A.AWS・Google Cloud・Azure単体での診断も可能ですが、クラウド上で動作しているアプリケーションを含めた診断をおすすめしています。
- Q.
費用はどのくらいですか？
A.診断対象のヒアリングを行い費用を提示いたします。 診断のご相談、見積のご依頼はお気軽にお問い合わせください。
料金・プラン
脆弱性診断
100万円〜
グレーボックスまたはブラックボックス形式で脆弱性診断を実施します。ご予算に応じて深刻度が高いと見込まれる箇所から優先的に診断し、ビジネスリスクの高い脆弱性を可能な限り検出します。OWASP Top 10やOWASP ASVS等でカバーされる典型的な脆弱性に加え、仕様を踏まえたビジネスロジックの脆弱性も検出対象です。
お見積もりは無料です。
診断のご依頼はお気軽にお問い合わせください。