セキュリティ診断サービス（Web アプリケーション診断）
サービス仕様書

第5版
株式会社日本オープンシステムズ

1 / 8

-目次1

はじめに ...........................................................................................................................3

1.1

本書の位置付け ............................................................................................................32

Web アプリケーション診断サービス仕様 .......................................................................32.1

概要 ...............................................................................................................................32.2

ご利用条件 ....................................................................................................................32.3

利用ツール/環境 ...........................................................................................................3

2.4

診断内容 .......................................................................................................................42.5

診断結果報告 ................................................................................................................53

利用料金 ...........................................................................................................................64契約について ....................................................................................................................64.1

ご利用の流れ ................................................................................................................64.2

その他注意事項について ..............................................................................................7

5

その他 ...............................................................................................................................72 / 8

1

はじめに
1.1

本書の位置付け
本仕様書は株式会社日本オープンシステムズが提供する、セキュリティ診断サービス（Webアプリケーション診断）における、サービス仕様および注意事項を記載したものです。

2Web アプリケーション診断サービス仕様
2.1

概要
Web アプリケーションに対し専用のツールを使って様々な疑似攻撃を試行し、Web アプリケーションの安全性を調査し、結果を報告するサービスです。

図１：診断イメージ

2.2

ご利用条件
インターネット上に公開された Web アプリケーションが対象となります。

2.3

利用ツール/環境
ツールはエーアイセキュリティラボ社製の「AeyeScan」を利用します。本ツールはクラウド上のサーバにインストールされており、インターネットを通して Web アプリケーションをスキャンします。

3 / 8

2.4

診断内容
ツール「AeyeScan」は AI がクラウド上のブラウザを操作し、人間のアクセスと同様な巡回・診断をします。診断内容は多岐にわたるため全項目を記載することはできませんが、以下が代表的な項目となります。
OWASP Top10 項目 ※診断項目(代表例)

A1-インジェクション

OS コマンドインジェクション・SQL インジェクショ
ン・SMTP ヘッダインジェクション

A2-認証の不備

ログイン ID の漏洩・セッションフィクセーション

A3-機微な情報の露出

クレジットカード番号の表示・パスワード入力欄のマ
スク不備

A4-XML 外部エンティティ参照(XXE)XML 外部実体参照

A5-アクセス制御の不備

パストラバーサル

A6-不適切なセキュリティ設定

強制ブラウジング(ディレクトリリスティング・不要フ
ァイルの更改)・製品情報の表示・機微情報の平文送信

A7-クロスサイトスクリプティング(XSS)

クロスサイトスクリプティング・DOM ベースクロスサイトスクリプティング

A8-安全でないデシリアライゼーション

安全でないデシリアライゼーション

A9-既知の脆弱性のあるコンポーネントの使用

脆弱な WordPress の利用・脆弱な JavaScript ライブラ
リの利用

A10-不十分なロギングとモニタリング

Web アプリケーションの脆弱性ではないため対象除外

その他

PHP ファイルインクルージョン・オープンリダイレク
ト・クロスサイトリクエストフォージェリ・サーバサイ
ドリクエストフォージェリ※OWASP Top 10-2017(2021 年 9 月時点の最新)

4 / 8

2.5

診断結果報告2.5.1 報告書について診断の完了から 5 営業日を目処に報告書を提出します。

図 2：報告書サンプル

2.5.2 報告会についてオプションとして報告会を選択している場合は、別途報告会用資料を作成し、報告会（Web 会議）にて、診断結果とセキュリティ専門家としての見解を報告します。

5 / 83利用料金
本サービスの利用料金を以下に記載します。
基本メニュー
基本料金\200,000／1FQDN

※1

診断料金

\20,000／1 画面※2、※3、※5\0／1 画面※3、※4\150,000／1 回※6\8,000／1 画面※3、※4

再診断（1 回目）
オプションメニュー
報告会
再診断（2 回目以降）※１ 基本料金は FQDN ごとに必要になります（1 年間有効）※２ OWASP Top10 を始めとする主要診断項目にて診断を行います※３ 報告書の提出を含んでおります※４ 報告書納品日から 1 か月(30 日)以内に限り、修正箇所の再診断を実施します(検出された診断項目のみの診断となります)※５ 最低契約画面数は以下となります。
ログインが含まれるサイトの場合：6 画面～

ログインが含まれないサイトの場合：3 画面～※６ 報告会用資料の提出を含んでおります

4契約について
4.1

ご利用の流れサービス利用までの流れを記載します。
最短 1 営業日
秘密保持契約

事前調査

見積

申込み手続

診断

5 営業日
報告

再診断

4.1.1 秘密保持契約
診断するにあたり、機密情報を扱うため秘密保持契約を結びます。

4.1.2 事前調査
弊社から診断環境のヒアリングを実施します。この情報を元に、ツールから Web サイトの事前クローリングを実施し画面遷移を確認後、診断対象画面を合意します。

4.1.3 見積合意した画面数を元に見積書を提示します。

6 / 8

4.1.4 申込み手続き
お客様にてサービス申込書を記載して頂きます。

4.1.5 診断
ツールによるスキャンを実施します。

4.1.6 報告
診断結果を分析し、報告書を作成しお客様に提示します。オプションで報告会を選択された場合、報告書とは別に報告会用資料を作成し、Web 会議にてテスト結果説明と、セキュリティ専門家による見解をご説明します。

4.1.7 再診断
報告を元にお客様で対処を実施したのち、ご希望があれば報告から 30 日以内の間で再診断を実施します。無償での再診断は 1 回のみとし、30 日を越えての実施はできません。
再診断の報告書を作成しお客様に提示します。

4.2

その他注意事項について
その他サービス利用の注意事項についてはサービス利用規約を参照ください。

5

その他
診断対象となる Web アプリケーションがパブリッククラウド上にある場合、事前にパブリッククラウド事業者に申請が必要となる場合があります。クラウド事業者に確認の上、お客様で申請をお願いします。

7 / 8

8 / 8