手動診断×ツールの徹底検証。
リリース前・運用中のセキュリティリスクを排除するスマートフォンアプリケーション診断
端末の不正利用（改造）による不正行為、通信データの奪取、アプリ内データへの不正アクセスなど、スマート端末特有のリスクを徹底的に診断・可視化します。
ツールスキャンと手動による「ハイブリッド診断」で未知のリスクを特定
スマート端末にインストールされたアプリに対して、弊社独自診断ツールと、経験豊富なエンジニアによる手動診断を組み合わせて実施します。
ツール診断だけでは原理的に不可能な箇所や、さらに深い検証が必要だとエンジニアが判断した箇所は手作業で実機・エミュレータを巡回検証し、悪意あるユーザーからの攻撃や情報漏洩を未然に防ぎます。
ブラックボックス／
ホワイトボックス両対応
インストールされたアプリの挙動（ブラックボックス）だけでなく、アプリ内の保存情報や通信における暗号化状況もしっかりと検証し、全方位から安全性をチェックします。
手動＆ツールの
強みを融合
弊社独自診断ツールでのスキャンによる網羅性と、エンジニアが攻撃者の視点でリクエストの手作業改ざん等を行う個別深層検証を両立します。
スマート端末特有の
リスクに対応
端末の不正利用（改造/ルート化・脱獄等）によるアプリへの不正行為、サーバ・端末間通信データの奪取、アプリ内データへの不正アクセスなど、スマホアプリならではのリスクに特化しています。
【SERVICE IMAGE & APPROACHES】
OWASP Mobile Top 10(2024)に準拠した詳細な検査項目
主にスマート端末にインストールされたアプリに対し、以下の観点で厳密な検証を実施します。
| 実施項目 | OWASP Mobile Top10(2024)対照 |
確認項目 | 確認項目 |
|---|---|---|---|
| アプリ設定・バックアップ・ログ | M6,M8,M9 | 設定ファイル | バッグアップ・デバッグ設定の確認 |
| ログ出力 | 機密情報の出力有無を確認 | ||
| 認証情報・端末データ | M1,M6,M9,M10 | 秘密情報の埋め込み | 認証情報・暗号鍵等の有無を確認 |
| 保存ファイル | 機密情報、保存先、権限、残存状況を確認 | ||
| 保存データの暗号化 | 暗号化の有無・方式を確認 | ||
| 通信の安全性 | M5 | 暗号化通信 | 平文通信の有無を確認 |
| 証明書検証・通信先 | 証明書の検証処理と通信先を確認 | ||
| アプリ側の認証処理 | M3 | 認証処理 | 端末固有情報を用いた認証を確認 |
| Webview・外部連携機能 | M4,M8 | Webview | 設定や外部コンテンツの取扱いを確認 |
| 外部連携機能 | DeepLinkやアプリ間連携の設定を確認 | ||
| バイナリ解析・リバースエンジニアリング耐性 | M7 | 逆コンパイル・難読化 | 解析可否と難読化の状態を確認 |
| バイナリ内の不要情報 | デバッグ情報や内部情報の有無を確認 |
| OWASP Mobile Top10 2024 | 和訳 |
|---|---|
| M1: Improper Credential Usage | クレデンシャルの不適切な使用 |
| M2: Inadequate Supply Chain Security | 不十分なサプライチェーンセキュリティ |
| M3: Insecure Authentication/Authorization | 安全でない認証・認可制御 |
| M4: Insufficient Input/Output Validation | 不十分な入力・出力値検証 |
| M5: Insecure Communication | 安全でない通信 |
| M6: Inadequate Privacy Controls | 不十分なプライバシー管理 |
| M7: Insufficient Binary Protections | 不十分なバイナリ保護 |
| M8: Security Misconfiguration | セキュリティの誤設定 |
| M9: Insecure Data Storage | 安全でないデータストレージ |
| M10: Insufficient Cryptography | 不十分な暗号化 |
診断結果をスピーディかつ緻密にまとめた「成果物一覧」
診断完了後、お客様の環境に応じた以下の成果物一式をご納品いたします。
① 結果報告書 納品予定物：✔︎
検出された脆弱性の危険度、具体的な検出箇所、および推奨される改修対策手順をわかりやすくエンジニアがまとめた詳細レポート。
② 診断時速報 納品予定物：✔︎
診断実行中に重大な脆弱性が発覚した場合、被害を最小限に抑えるために即座にお客様へ連絡を行うファーストインフォメーション。
③ 各種解析・マッチングデータ 納品予定物：✔︎
逆コンパイル結果、キーワードマッチング結果、確認画面キャプチャなど、実用的な解析データを一式でお渡しします。
脆弱性診断報告書のサンプルは、弊社ホームページからダウンロードいただけます。
診断完了後、約5営業日以内に診断報告書を提出させていただきます（※オプションにて報告会も実施させていただきます）。
診断開始から完了までのステップ
STEP 1：サイト確認
診断対象アプリの確認及びヒアリングをさせていただきます。
※対象の「ヒアリングシート」のご提示、およびテスト用アカウントの発行をお願いします。
STEP 2：対象範囲確認
診断対象の画面遷移やURL一覧を作成させていただきます。
※テストデータ等の作成をご依頼する場合がございます。
STEP 3：ご提案
診断範囲及び診断内容に基づいたご提案書とお見積書を提出させていただきます。あわせて診断スケジュールの調整を行います。
STEP 4：お申込み
必要事項を記載し、注文書のご送付をお願いいたします。
※診断開始前までに、テストデータの作成やファイアウォール（FW）等の設定変更（診断元IPアドレスのアクセス許可など）をご依頼する場合がございます。
STEP 5：診断
独自ツールとエンジニアの手動により診断を実行します。
※診断実行中に重大な脆弱性が発覚した場合は、速報にて即時通知いたします。
STEP 6：レポート
診断完了後、約5営業日以内に詳細な「診断報告書」を提出させていただきます。
※オプションにて報告会の実施も承ります。
診断に関する前提条件および影響について
診断着手条件
- 発注者・受注者間で第三者診断会社（弊社）に対してリリース前アプリ提供の合意がとれていること。
- 対象アプリの最新版（エミュレータ起動可能なapkファイル等）を提供いただけること。
診断実施による影響と安全対策
- 診断中にシステムの処理負荷が増大し、システムパフォーマンスが低下する（レスポンスが遅くなる等）場合があります。
- テスト用データベースに多数のゴミデータの登録が発生する、または問い合わせ等のメールが管理者・関係者へ大量に送信される場合があります。
スマートフォンアプリケーション診断 料金プラン
| 診断カテゴリ | 詳細内容 | 単位 | 費用（税抜） |
|---|---|---|---|
| アプリケーション基本診断 | 基本診断（ツール＆手動による診断） | 1 ファイル | ¥500,000~ |
| 報告書作成 | 詳細な診断結果報告書の作成 | 1 式 | ¥100,000~ |
| 改修確認実施 | 検出された脆弱性の改修後に再度安全性を検証 | – | 初期費用に含む |
まずはアプリの仕様や画面数から、概算のお見積もりをいたします
「リリースを控えたスマホアプリの安全性を確かめたい」「手動で細部まで診断してほしい」など、何でもご相談ください。
担当のセキュリティエンジニアが丁寧に対応いたします。