Web API脆弱性診断

スマートフォンアプリケーションや、専用クライアント、他のサイトなどから利用する目的で構築される、Web APIは、主にJSON/XMLといった形式でデータのやり取りを行います。また現在では、GraphQLなど、JSON/XML以外の形式でのものも出てきています。
このような、ブラウザから直接利用されないWeb APIの脆弱性診断では、Webアプリケーションとはまた異なった視点・ノウハウが要求されます。例えばどのようなサイトにAPIの利用を許可するかといったCORSの仕組みや、JWTという新しめのWeb API向けの認証方法など、その仕組みを理解しての診断はより高度な技術を要求されます。
ディーゴではWeb API脆弱性診断の診断項目としてOWASP ASVS(V5.0 Lv1)、OWASP Web Security Testing Guide をカバーし、OWASP TOP Ten(2017)の視点を取り入れた国際的な基準に則った診断項目を設定しています。検出した個々の脆弱性は全て詳細に解析した上で国際基準 CVSS(V3.1)によるリスク評価を行ない、分かりやすい再現手順と対策案とをあわせて診断結果の報告をいたします。
また、リスクが高いと考えられる脆弱性については報告書の完成を待たずに一早くお伝えいたします。（速報）

Web API脆弱性診断の特長

国際基準に合わせた診断項目

診断項目は、実質的なWebアプリケーションの国際基準となっている、OWASP ASVSのLV1を網羅し、同じくOWASPが提案しているセキュリティテストガイドである、OWASP Web Security Testing Guideのテスト項目を網羅して実施しています。診断仕様にあげているOWASP Top Tenは網羅性を持ったリストではありませんが、最も危険な脆弱性として提示されているリストとなりますので、Top Tenについては、より深堀した項目をテストしています。

高い基準のセキュリティエンジニアが診断しています

弊社では、社内規定により一定の技術基準を満たしているシニアセキュリティエンジニアを認定し、どの診断プロジェクトにおいても、シニアセキュリティエンジニアが診断内容・結果についてチェック・レビューを行うルールを設けています。弊社セキュリティエンジニアはセキュリティコミュニティでの講演活動などサイバーセキュリティの意識喚起・技術向上の社会貢献活動を積極的に行っています。