JCDSCベンダー部会

ASV検査サービス

バルネラ・アセッサーご紹介

2012年1月26日（木）ControlCase,LLC
日本オフィス・システム株式会社
FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-1

ControlCase社のPCIDSS認証と各種検査サービス

・PCIDSS, PA-DSS認証監査
・ASVスキャン検査
・PCIDSS, PA-DSSギャップ分
析・ペネトレーションテスト
・アプリケーションレビュー(OWASPテスト)
・コードレビュー・ベンダー管理・外部・内部脆弱性検査
・ファイアウォール検査
・データ管理サービス
・ユーザーアクセス監視

本社/Virginia,USA
FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-2

NOSのPCIDSSサービス構成図
PCI DSS国際協議会

スキャンツール
認定ベンダー

スキャンツールの認定

PCI SSC
監査員資格の認定

ASV
ControlCase

コンサルティングと内部・外部N/W診断

セキュリティ支援

QSA
ControlCase

NOS

内部・外部ﾍﾟﾈﾄﾚｰｼｮﾝﾃｽﾄ

本社：バージニア(米)支社：ムンバイ(印)
①事前調査
②本監査
米国またはインドから出張(審査員12人在籍)

OWASPテスト

スキャン検査の必要な

訪問審査の必要な事業者様

大手事業者様自己問診とスキャン検査

スキャン検査と訪問監査

FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-3

バルネラ・アセッサーの概要
ASV認定№4250-01-04／ControlCase GRC （Governance Risk Management）
日本国内は「バルネラ・アセッサー」として、日本オフィス・システムが提供。
【特徴】訪問監査の豊富な経験が生かされた、ASVスキャンサービス。
・米国を中心に、世界で120社以上のPCIDSS訪問監
査実績をもつ、ControlCase社が開発したスキャンサービスです。
PCI 監査とセットで、採用いただくケースが多く、監査顧客の約3分の1、40社が採用。
QSAスタッフが結果分析して、監査のデータに役立てることを目的に、経験が蓄積されてきたため、日々進歩するハッキングの手口を研究し、「PCI監査」のノウハウでチェックポイントを改善しています。

FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-4

お申込みから検査の流れ

・検査時間帯は、平日12～19時（インド・ムンバイからスキャン）
・スキャンするCC社側の指定IPがIPS/IDSを通過できるよう設定いただきます。
・負荷は少ないので、お客様システム稼働中でも問題ありません。
・脆弱性改善への各種ソリュー
ション提案をセット

結果レポート（英語版）は検査後即日。
日本語解説は2～3日後。
FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-5

ASVスキャン報告書の要約 (ASV Scan Report Executive Summary)IPアドレスの1番がFail（非準拠）判定。CVSSスコア6.8で、中程度の脆弱性が発見されたことを表示している。
FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-6

脆弱性の詳細結果 (Vulnerability Scoring Reference)
Vulnerability_Name_Finding
脆弱性名称と判明した事象

Apache HTTPサーバー
HTTPサーバー413
サーバー413エラー。
413エラー。HTTPエラー。HTTPリクエスト方法にクロスサイトスクリプティングに対HTTPリクエスト方法にクロスサイトスクリプティングに対する脆弱性があります。

Severity_Status

3/potential

脆弱性レベルと状況

IP_Addresses_affected**.***.***.2:443/tcp

影響を受けるIPアドレス

Threat脅威

ImpactＡｐａｃｈｅ HTTPサーバーがクロスサイトスクリプティングに対し脆弱
クロスサイトスクリプティングに対し脆弱です。この問題は、４１３
クロスサイトスクリプティングに対し脆弱
HTTPエラーになってしまうような、巧みに工作されたHTTPリクエストをアプリケーションがうまく識別処理できなかったときに起こります。413エラーはリクエスト自体のデータストリームが大きすぎてサーバーが処理できないときに起こります。サーバーはこの問題に対したとき起こった事象を記述したページを送り返します。
エラーページが表示されると、攻撃者のスクリプトコードは、アプリケーションの文脈の中でウェブページに載せられてしまいます。
攻撃者はこのことを利用してクッキーの認証コードを盗み、更なる攻撃をしかけます。

影響Solution
解決策

Category

この問題はApache 2.2.8では解決されています。この脆弱性はApacheのデフォルト413エラーメッセージを使用不能にすることで緩和できます。参照：
http://httpd.apache.org/docs/2.0/mod/core.html#errordocument
あるいはウェブアプリケーション用のファイアウォールを使用することもあわせて考慮してください。 例えば、mod_security のようなもの。参照：http://www.modsecurity.org/

Web Application

FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-7

報告書はお客様ごとのクラウドKey-BOXで継続管理

SSL認証でログイン。
ASVスキャンレポートだけでなく、PCIDSSのドキュメントやエビデンスも相互に載せられる。
担当QSAが、年間を通じてチェックし、継続フォロー。

FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-8

検査料金の概要
IPアドレスの数

単価¥・税別合計料金¥・税別

3個以内

63,000418,000

72,0005

15,00075,0006～1013,50081,000～135,000

11～20

12,600138,600～252,000

21～30

12,000252,000～360,000

1)四半期ごと計4回分の検査料金。翌年度以降は年単位の自動継続が可能。
2)1サイト単位での料金を表わします。
※サイトAのIPが3個、サイトＢのIPが4個の場合、それぞれの単価でお見積り。
3) 3個以内の場合は、一律63,000円。
4) 脆弱性対応後の再スキャンなど、追加はIP１個1回あたり10,000円(税別)。
※同時に再スキャンの必要なIPが複数ある場合は、別途お見積り。
FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-9

PCIDSSに準拠するために■お問合せは
日本オフィス・システム株式会社〒135-8568 東京都江東区潮見2-10-24
電話 03-4321-5555
Mail nosinfo@nos.co.jp

FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX Fine Crew FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX FineCrew NX

Copyright 2012 © Nippon Office Systems LTD.

P-10