Webセキュリティ検証サービス 自社Webアプリケーションは、安全ですか?
Webシステムを安全で快適なものにするため、
セキュリティの専門検証技術者が徹底サポートいたします。

脆弱性診断項目

• 01 業界標準の脆弱性項目をもれなくカバーする診断項目

  OWASP（OWASP Top Ten Project）、 WASC（The WASC Threat Classification v2.0）、 SANS（CWE/SANS TOP 25 Most Dangerous Programming Errors）など、代表的なセキュリティ団体か掲げる脆弱性項目は、セキュリティ業界において標準的な位置付けにあり、Webアプリケーション診断で、これらの「脆弱性項目」を網羅しているかは、「診断品質」を量る為の一つの目安となります。

  業界標準の脆弱性項目を漏れなくカバーする診断項目

  団体名	脆弱性項目	VES対応
  OWASP	OWASP Top Ten Project
  	(https://owasp.org/index.php/japan)
  WASC	WASC Threat Classification v2.0
  	(http://projects.webappsec.org/w/page/13246978/Threat-Classification)
  SANS	CWE/SANS TOP 25 Most Dangerous Programming Errors
  	(http://cwe.mitre.org/top25/)

• 02 診断項目一覧

  Webアプリケーション診断では、以下の診断項目を診断しています。

  診断項目	セッション管理に関する欠陥	Webアプリにおける一般的な欠陥
  	・アクセス制御の欠如 ・ファイルに対するアクセス制御の欠如 ・ユーザ識別の欠如 ・ID 空間の小さすぎるセッション追跡パラメータの使用 ・規則的なセッション追跡パラメータの使用 ・推測可能なセッション追跡パラメータの使用 ・URL パラメータによるセッション追跡 ・外部サイトへのリンクでセッション追跡パラメータがRefererとして漏えいする ・cookieによるセッション追跡 ・TRACEメソッドによるAuthorizationヘッダ漏えいの可能性 ・暗号化されないアクセスに個人情報が含まれる ・暗号化されないアクセスにセッション追跡パラメータが含まれる ・暗号化されないページへのリンクでのセッション追跡パラメータReferer送出 ・暗号化されないページへのリンクでのセッション追跡用cookie平文送出 ・セキュアでないcookieの使用 ・http上のログイン画面 ・ルートフレームがhttpにあるサブフレーム上のログイン画面 ・異なるセッションで同一セッション追跡パラメータの使用 ・永続的cookieの使用 ・ログアウト機能の欠如 ・ログアウト後のサーバセッションの残存 ・サーバセッションの長時間にわたる残存 ・クレジットカード番号の表示 ・パスワードの出力 ・再認証などWebProde対象外の脆弱性	・パラメータの改ざん ・Hidden フィールドの不正操作 ・クロスサイトスクリプティング（XSS） ・バッファオーバーフロー ・コマンド・インジェクション ・SQL インジェクション ・強制ブラウジング ・サードパーティ製品の設定ミス ・既知の脆弱性 ・バックアップファイルの検出 ・バックドアとデバッグオプション ・HTML 中のコメント ・ディレクトリトラバーサル ・不適切なエラーハンドリング ・クロスサイトリクエストフォージェリ（CSRF）