「クレジット情報」を守る最新セキュリティソリューション
既に脅威となっている「Weｂスキミング」や「オンラインスキミング」、「フォームジャッキング攻撃」、「Magecart（メイジカート）攻撃」など、サードパーティスクリプトを介して侵入する新たなセキュリティリスクに対してリアルタイムな防御を提供します！

従来のアプローチでは、ライブの顧客ウェブセッションに対するこれらの攻撃を阻止することができません！
● 企業は、ウェブサイトを通じて膨大な量の顧客データ及びペイメントデータを収集していますが、ほぼ全てのウェブサイトに影響を及ぼす普遍的な欠陥により、データがライブの顧客ウェブセッション中にさらされます。
● 必須アナリティクスの提供、並びに顧客エクスペリエンス、顧客エンゲージメント、及び顧客コンバージョンの強化を行うためにウェブサイトに統合された無許可のサプライチェーンパートナー（サードパーティ）は、このデータに完全にアクセスできるようになりますが、攻撃者はこれらのパートナーに不正アクセスし、パートナーのアクセスをエクスプロイトして、この規制されたデータを窃取します。
● ライブの顧客ウェブセッションからのデータ窃盗につながる攻撃からウェブサイト及びその訪問者を保護する、全く新しい独自のソリューション（特許）を提供します。

クライアント側ウェブセキュリティのマーケットリーダーである Source Defense 社が開発した特許を有する独自のVICE （ Virtual iframe
Containment Enclosure プラットフォーム) により、業界で唯一の「リアルタイム阻止ソリューション」を提供します。
VICEは、従来及び既存のサイバーセキュリティソリューションでは防ぐことのできない、ウェブサイトのサプライ・チェーン・アタックを防ぎます！

ブラウザセッション攻撃の概要
WebsiteServer

侵害
攻撃者がサードパーティサーバに不正アクセス

セキュアな領域
Secured

攻撃者

セキュアでない領域

ウェブサーバフォースパーティのサーバ群

データ窃取
Analytics
ソーシャルServer

TLS
/
TLS
/ SSL
SSL

メディア Ad
Server
広告

Firewall
WAF
Firewall //WAF

解析サーバ

Social Media
Server

サードパーティのサーバ群
攻撃者により変更されたコンテンツがウェブサイト訪問者にサービスされる。

ウエブサイト訪問者のブラウザ（顧客データ及びペイメントデー
タはウェブサイト上で作成）●

コンテンツがサードパーティJavaScriptで改善・充実される。

普遍的な脆弱性

一般に、ウェブサイトは、コードと数十社の外部ウェブサイトサプライチェーンベンダーのツール(サードパーティのJavaScriptツール)を統合します。
これらのツールは、説得力のあるコンテンツ、非常に重要なアナリティクス、並びに顧客エンゲージメント及び顧客コンバージョンを支援する機能を提供します。これらのツールは、オンラインコマースにとって非常に重要であり、ウェブサイトの品質及びビジネスの成功と切っても切れないものです。
しかし、これらのツールは安全ではなく、場合によっては無許可のこれらの外部エンティティは、ライブの顧客ウェブサイトセッション中にウェブページ全体への制御されないアクセスを行います。この欠陥は、ウェブサイト所有者が、ウェブサイトサプライチェーンベンダーがどのデータにアクセス可能であるかを制御したり、こうしたアクセスをエクスプロイトしようとするハッカーを制御することによって防ぐことが可能です。
ウェブページ及びユーザセッション中に送信される全てのデータへの制御されないアクセスは、ウェブサイトのセキュリティに侵入してPII 「PersonallyIdentifiable Information」(個人を特定できる情報)及びペイメントデータを抜き取るための安易な経路を脅威アクターに提供します。
脅威アクターは、高度にセキュア化されたウェブサイト所有者の防御を直接標的とする代わりに、最も抵抗の少ない経路を進み、ウェブサイトサプライチェーンの最弱リンク、脆弱性のあるサードパーティベンダーのセキュリティインフラを標的とします。
（※サードパーティJavaScriptとは、サードパーティベンダから入手できるスクリプトであり、顧客エクスペリエンスをエンリッチ化し、アナリティクスを強化し、広告を介してサイトを収益化するためにウェブサイトに埋め込まれるスクリプトを指します。サードパーティスクリプトは、パワフルな機能を提供しますが、一方でプライバシー、セキュリティ、パフォーマンス、及びページ挙動に対するリスクをもたらします）。

(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. D

1/4

文中の社名、商品名等は各社の商標、又は登録商標です。

●

既に特許を有する業界で唯一の「リアルタイム阻止ソリューション」によって、他のアプローチでは不可能なサードパーティスクリプトの脆弱性を突いた攻撃を防御！

Source Defenseは、サードパーティJavaScriptベンダによってもたらされる脆弱性及び攻撃を阻止すると同時にウェブサイト拡張を可能にすることに重点を置いた、全く新しいアプローチを提供します。
Source Defenseは、今までに類を見ない切り分け/セグメント化の技術によって、完全自動化された機械学習が支援するルール及びポリシーのセットを活用し、このセットが、ウェブサイト上で動作する全てのサードパーティJavaScriptコードのアクセス及び許可を制御します。
・ウェブサイトセキュリティインシデント又は侵害に関連するリスク及びコストを回避する
・ウェブページからスクリプトを切り分けてサードパーティのアクセス及び制御を制限する許可を実施することによって、サイトのコンテンツ及び完全性を保証する
・サードパーティJavaScriptが意図されたウェブサイトエクスペリエンスのみを提供できること、これらのJavaScriptツールを悪意のあるデータ抽出又はウェブサイト改変に利用できないようにすることを確実にすることによって、ウェブサイトの有効性を促進する
全ての外部サードパーティJavaScriptは、ウェブページに開発者レベルのフルアクセス(即ち、DOMアクセス)を行うことができます。
その結果として、ウェブサイト所有者は、サードパーティJavaScriptがユーザセッション中にどのようにウェブページを変更し、ウェブページと対話する かを制御することができません。
攻撃者は、サードパーティベンダー(又はリンクしたフォースパーティ)のセキュリティ防御を突破すると、外部サードパーティサーバからクライアント側ブラウザに直接サービスされるコードを変更又は置換します。多くの場合、これらの変更は、データ抜き取りの手段として、カードスキミングの追加、又はコードのフォームジャッキングを伴います。
●課題・普遍的な脆弱性： サードパーティ統合を介したウェブサイト拡張は、リスクを生じ、データプライバシーに影響を及ぼす・クライアント側のセキュリティが存在しない： 組織は、顧客のウェブサイトエクスペリエンスの2分の1を保護するだけでも最大限の注意を払う
・ウェブコマースの加速化： ウェブサイト拡張のスピードでセキュリティを維持することは、効果のないリスク軽減又は組織内の衝突をもたらす

・データプライバシー： サードパーティ統合によってもたらされるリスクのせいで、GDPR(EU一般データ保護規則)及び迫り来るカリフォルニア州データプラ
イバシーフレームワークを含む現在のプライバシー要件を順守することができない

主な機能と特長

リアルタイム阻止
顧客データ窃盗及びウェブサイトカードスキミングを阻止する

データプライバシー
ライブの顧客ウェブセッション中にデータが漏洩したり盗まれたりしないようにする

デジタルチャネル強化：
・サードパーティのウェブサイトツールをセキュアに利用し、意図されたウェブサイトエクスペリエンスのみを提供、これらのJavaScriptツールが悪意のあるデータ抽出又はウェブサイト改変に利用されないようにする。

運用の簡易性

攻撃タイプ:• エージェントの分散なしで、迅速且つ容易に展開する• ロータッチシステム は管理をほとんど必要としない• サイレント/クワイエットシステム はリアルタイム阻止に依拠して、アラートを最小限に抑える• トランスペアレントに動作する• 既存のセキュリティシステムとシームレスに統合する
・ PCI / HIPAA / GDPRコンプライアンス• ペイメントカードスキミング(Magecart)• フォームジャッキング
• スクリーンスクレイピング• ウェブインジェクション
• コンテンツの改ざん
・ キーロギング• クリックジャッキング
• マルウェア/ランサムウェア/フィッシング
・ 水飲み場型攻撃・ マルウェアとランサムウェアの配布
・ フィッシング・ ウェブサイト の改ざん

MageCart攻撃による被害例

JULY 2019(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. D

2/4

文中の社名、商品名等は各社の商標、又は登録商標です。

Source Defenseの「リアルタイムサンドボキシングソリューション」
業界初！

全てのサードパーティのウェブサイトコードを切り分けてサンドボックス化することによって、ウェブサイトサプライチェーンパートナーを管理・制御し、顧客データ及びペイメントデータが不正アクセスされてハッカーによってエクスプロイトされるというセキュリティ違反を阻止することができます。
攻撃者

AWS

MageCart

セキュアな領域

ウェブスキマーフォームジャッキング

Firewall / WAF

ウエブサーバ
TLS /
SSL

レポート
インターネット
サード/フォースパー
ティのサーバ● 主な特長及びメリット

・顧客データの窃盗、ウェブサイトカードスキミング、及びクロスサイトスクリプティング(XSS)を阻止する
・ウェブサイト改変を阻止する
・顧客データプライバシー及びコンプライアンスを順守する
・ウェブサイトの運用上/管理上の負担を低減する

ユーザブラウザの各ページに対して仮想ぺージ上でアルタイムサンドボキシングを行いサードパーティの疑わしいスクリプトを検出、ユーザデータを防御します！

気付いてからでは遅い！
ユーザには見えない「Weｂスキミング」や「オンラインスキミング」、「フォームジャッキング攻撃」、「Magecart（メイジカート）攻撃」の検出は殆んど被害後のケースです！

貴社のWEBサイトが、今どれほど危険な「サードパーティスクリプトの脆弱性があるかチェックしてみませんか？
無料で下記のリスクレポートを提供します（御客様への影響はありません）。
このSourceDefenseのリスクレポートは、JavaScript統合とWebサイトを強化するサードパーティツールによってもたらされるセキュリティとリスクへの影響についての洞察を提供します。

●

管理されていないサービスと露出レベル（例）

リスクレポート※ リスクレポートは無料です！

これらのJavaScriptはハッカーが悪用する可能性があります

計28のサードパーティによるJavaScript

これらは、サイトのエクスペリエンスとユーティリティを充実させるために組織がWebページに統合することを選択したサービス（サードパーティのJavaScript）です。
これらのサービスには、ハッカーがブラウザエクスペリエンスを変更してデータを制限したり、Webサイトのパフォーマンス、エクスペリエンス、収益化に影響を与えたりするために悪用する、Webサイト訪問者のブラウザセッションへの特権とクライアント側アクセスが付与されます。

脅威レベルの凡例

疑わしい振る舞いタイプ

疑わしいスクリプト

潜在的な被害

入力フィールドへのアクセス

フォームの作成、入力

ページクリック

計305の深刻な脅威

フォーム送信※他

・スクリプトサマリ
・スクリプトMAP
等
Copyright 2021 Cornet Solutions K.K. Rev. D

3/4

文中の社名、商品名等は各社の商標、又は登商標です。

Q&A
1) サードパーティスクリプトとは何ですか?
サードパーティJavaScriptとは、サードパーティ ベンダから入手できるスクリプトであり、顧客エクスペリエンスをエンリッチ化するか、アナリティクスを強化するためにウェブサイトに埋め込まれるスクリプトを指します。実際、全てのページリクエストの50%以上がサードパーティコールです。
2) なぜサードパーティスクリプトが危険なのですか?
サードパーティJavaScriptがページ上に含まれる時はいつでも、これらのスクリプトがリモートサーバからブラウザに直接ロードされるので、セキュリティリスクが内在しています。こうした統合は、ファイアウォール及びWAFを含む、ウェブサイト所有者の従来のセキュリティインフラを完全に回避します。
これらのJavaScriptコンポーネントは、一度ロードされると、ウェブページに完全にアクセスできます。これらのJavaScriptコンポーネントは、ウェブページを変更し、(フォームを含む)ウェブページ上の全ての情報にアクセスすることができ、キーストロークを記録することさえできます。
3) ファイアウォール、WAF及びセキュア接続がありますが、安全ではないのですか?
ファイアウォール、WAF、セキュア接続及び多くの他のソリューションは、内部サーバ、及びブラウザとこれらの内部サーバとの間の通信をセキュアにすることに重点を置いています。上記で定義したように、サードパーティスクリプトはユーザのブラウザ上で実行されますが、リモートサーバから呼び出されます。
このクライアント側接続は、ブラウザセッションのサーバ側をセキュアにするために組織が展開するセキュリティ機能の完全に外側で動作します。
4) サイトが現在この攻撃ベクトルに対するリスクにさらされているかどうかを知るにはどうすればいいですか?
サードパーティJavaScriptで動作する現在のあらゆるウェブサイトは、この攻撃ベクトルを受けやすい状態になっています。現在では、数十のサードパーティJavaScript統合を含まないウェブサイトを見つけることは困難です。実際、全てのページリクエストの50%以上がサードパーティコールです。一般に、使用するサードパーティスクリプトが多いほど、リスクにさらされる程度が高くなります。
5) DASTがこの攻撃ベクトルを見つけられないのはなぜですか?
DASTとは動的アプリケーションセキュリティテスト(Dynamic Application Security Testing)の略であり、通常、DASTはプリプロダクション環境上でアクティブであり、ライブのサイトをカバーしていません。数人がライブのサイト上でDASTを実行すれば、数人分のユーザプロファイルがシミュレートされますが、このソリューションを拡張して全てのウェブセッションを監視/検出することはできません。
6) RASPがこの攻撃ベクトルを見つけられないのはなぜですか?
RASPとはランタイムアプリケーション自己保護(Runtime Application Self-Protection)の略であり、RASPは、Java仮想マシン及び.NET共通言語ランタイム上のみに存在します。RASPは実際のライブのサイト上では動作しないので、サードパーティはRASPの検出範囲外になります。
7) 単に機密ページから全てのサードパーティJavaScriptを削除できないのは何故ですか?
理想的な世界であればそうすることが可能ですが、競争力を保ちたければ、ウェブページ上でサードパーティを統合することが必要になります。
サードパーティは、エクスペリエンスをエンリッチ化し、有用なアナリティクスを提供するからです。
8) このソリューションはサイトのパフォーマンス、安定性、及び挙動に影響を及ぼしますか?
Source Defenseソリューションは、展開及び管理が簡単であるように設計されています。このソリューションに同期する小さいコンポーネントがありますが、追加されるレイテンシは約100msです。このソリューションは、もたらされたサードパーティレイテンシをコンテンツから切り分けるように動作し、複数のサードパーティJavaScript統合をロードすることによるレイテンシの影響を軽減します。
9) このソリューションを統合するのにかかる時間はどのくらいですか
統合はシンプルです。2行のJavaScriptをサイトのヘッドセクションにコピー/ペーストするだけです。
10) システムの設定は難しいですか?
当社の専門家及び機械学習を利用して、貴社向けにシステムを設定することができます。カスタム構成が必要な場合、管理コンソールがそのためのツールを提供します。
11) システムには継続的な管理/監視が必要ですか?
システムはロータッチであるように設計されています。システムを管理する必要があるのは、新規のサードパーティをサイトに統合する時だけです。
12) システムは拡張しますか?
はい。システムは、冗長化を備えた強力なCDNを運用する拡張に対応するように構築されています。
13) 現在サイトが非準拠であるのはなぜですか?
動作しているウェブサイトは、準拠した動作を保証することができません。サードパーティJavaScriptベンダは処理される全てのデータに対する無制限のアクセス権限及び可視性を利用できるので、これらのウェブサイトは接続のプライバシーを保証することができないからです。
サードパーティJavaScriptベンダがウェブサイト上に統合されている限り、本質的に顧客データプライバシーを順守していないことになります。



Source Defenseは、どの業界にも適用可能ですが、上位のターゲットとしては、右記が挙げられます。

●金融保険
eコマース
旅行及び発券ソーシャル
ヘルスケア

ソースディフェンス社 ( 本社イスラエル、設立：2014）

Source Defenseは、クライアント側ウェブセキュリティのマーケットリーダーであり、特許を有する独自のVICE （ Virtual iframe Containment Enclosure プラットフォーム) により、業界で唯一の「リアルタイム阻止ソリューション」によって、既存のサイバーセキュリティソリューションでは防ぐことのできない、ウェブサイトのサプライ・チェーン・アタックを防ぐことができます！
文中の社名、商品名等は各社の商標、又は登録商標です。

(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. D

4/4