EGセキュアソリューションズは2023年5月10日、Web脆弱性診断サービス「ウェブアプリケーション脆弱性診断」を刷新し、AI自動診断ツールを加えた新プランを提供開始した。従来は手動診断によるフル機能プランに限って提供してきたが、診断対象を減らした下位版として、AI自動診断ツールを適用したプランを追加した。診断可能な項目は減るが、より安価かつ短納期で診断結果が得られる。
EGセキュアソリューションズの「ウェブアプリケーション脆弱性診断」は、ユーザーが運用しているWebアプリケーションに脆弱性があるかどうかを診断するスポット型のサービスである。リモートからユーザーのWebシステムにアクセスし、手動またはツールを用いて診断する。診断結果は報告書にまとめて提出する。報告会も実施する。報告書では、事業への影響度を中心にまとめたサマリーや、脆弱性の種別ごとに危険度、再現方法、対策方法などをまとめた詳細レポートを提供する。
拡大画像表示
今回、より広いニーズに適用できるようにサービスを刷新し、3つのプラン構成にした(図1)。従来は手動診断型のプランしかなかったが、AI自動診断ツールを適用したプランを追加した。手動診断と比べると診断項目は減ってしまい、きめ細かな診断はできなくなるが、AI自動診断ツールには、より安価かつ短納期で診断結果が得られるというメリットがある。
プランは、(1)「スタンダード」(標準プラン)、(2)「プレミアム」(上位プラン)、(3)「エクスプレス」(下位プラン)の3つを用意した。
(1)スタンダードプランは、AI診断ツールとエンジニアによる手動診断を併用することで、品質とスピードを両立させたプランである。事前のヒアリングやサイト調査により、サイトの特性を踏まえて診断する。「安全なウェブサイトの作り方」(独立行政法人情報処理推進機構セキュリティセンター)や「OWASP TOP10」の項目に沿って網羅的に診断するとしている。
想定するWebサイトとして同社は、個人情報や重要情報を多く扱うサイト、SaaSサービス、新規サービスのローンチ前の診断、API診断、などを挙げている。
(2)プレミアムプランは、エンジニアがフル手動できめ細かく診断するプランである。スタンダードプランの診断内容に加えて、オプションでWebSocketやGraphQLの診断も可能である。設計書やソースコードを預かったうえで、これらを確認しながらの診断も可能である。
想定するWebサイトとして同社は、より高い安全性が求められるサイトや、先進的な技術を用いたアプリケーションの診断、などを挙げている。診断実績として、オンラインストレージサービスなどがあるという。
(3)エクスプレスプランは、AI診断ツールを使ったスキャン診断を実施する。コストと診断期間を抑えつつ、最低限の診断は実施したいといったケースに向く。診断実績として、法人向けのEC(電子商取引)サイトなどがあるという。