SECURE-AID Advanced：ホワイトハッカーによる脆弱性手動診断サービス

SECURE-AID Advancedのポイント

• スマホアプリではサーバとクライアントの両方で診断
• ウェブアプリでは不正な値の入力やリクエスト改ざんなどの擬似攻撃で確認
• IoT機器ではプロトコルやファームウェアをテスト、診断

SECURE-AID Advancedの製品解説

　イエラエセキュリティの「SECURE-AID Advanced」は、ホワイトハッカーによる脆弱性手動診断サービス。世界最大のハッキングイベントで好成績を残したホワイトハッカーチームがセキュリティ対策を支援してくれる。アールワークスが提供する脆弱性診断サービス「SECURE-AID」の補強サービスという位置付け。

編集部おすすめの関連記事

• 最大のセキュリティホールは人間--ありふれた脆弱性攻撃が今も通用する理由
• 中小企業のセキュリティ対策--限られたリソースで攻撃に備えるヒント
• 日本企業、脅威発生前の対策に重点--それでも修正パッチの適用に課題
• 「Spectre/Meltdown」入門--多くの端末に影響するCPU脆弱性

　大きく「スマホアプリ診断」「ウェブアプリ診断」「IoT機器脆弱性診断」という3つを提供している。

　「スマホアプリ診断」は、iOS/Androidアプリの両方でリバースエンジニアリングで静的に診断。スマホアプリは、サーバ上のAPIとスマホ内のクライアントアプリによって構成されているため、サーバ上のアプリとクライアントアプリの両方に対して脆弱性を診断する。

　「ウェブアプリ診断」は、Java/PHP/Perl/Rubyなどで開発されたウェブアプリケーションを検査する。ウェブアプリケーションの設計や実装、ロジックなどに起因して、ネットワークを経由して不正侵入や情報漏えい、サービス不能に悪用される脆弱性がないか、実際にネットワークを経由して不正な値の入力やリクエスト改ざん、不正コードの挿入などの擬似攻撃で確認する。

　「IoT機器脆弱性診断」では、機器固有のプロトコルに沿って異常なリクエストや認証のバイパスを試みるリクエストを送るなどをテストして、攻撃者の利益になるような挙動を起こさないか診断する「プロトコル診断」を実施する。

　機器に対して異常な内容のリクエスト、異常な量のリクエストを送り、機器の動作に支障をきたさないか診断する「DoSテスト」、機器のファームウェアアップデートファイルや、そのアップデート過程を調べ、秘密のロジックや鍵が解析可能かどうか、不正なアップデート（例えば改造ファームウェア）を適用可能かどうか調べる「ファームウェアテスト」などが行われる。

SECURE-AID Advancedのまとめ

用途と機能	ホワイトハッカーによる脆弱性手動診断サービス
特徴	iOS/Androidアプリの両方でリバースエンジニアリングで静的に診断。ウェブアプリでは、実際にネットワークを経由して不正な値の入力やリクエスト改ざん、不正コードの挿入などの擬似攻撃で確認。IoT機器では、プロトコルやDoS、ファームウェアでテスト、診断
導入企業	マンチェス、楽天、ビッグローブほか