Cigital 3D Security Testing
•
2 j'aime•451 vues
Cigital 3Dは、アプリケーションセキュリティ・テストのQCDを大幅に向上させる"Test as a Service" です。 https://www.asteriskresearch.com/cigital-3d/
Recommandé
Contenu connexe
Tendances
Tendances (20)
En vedette
En vedette (11)
Similaire à Cigital 3D Security Testing
Similaire à Cigital 3D Security Testing (20)
Plus de Asterisk Research, Inc.
Plus de Asterisk Research, Inc. (10)
Cigital 3D Security Testing
- 2. 従来のセキュリティテスト： QCD のいずれにも深刻な問題がある | Enabling Security for Developers | ©Asterisk Research, Inc. 2 1) Quality: テストの手段も結果もわかりにくい – ツールのアウトプットだけでは、エキスパートが介在せず不正確なことがある。 – 脆弱性などの問題が指摘されるだけで、改善するためのフィードバックとして不足。 2) Cost: テストのコストが高額 – アウトソースしても１テスト数百万円かかる。 – プロ・ツールの多くはプロジェクトが異なると追加課金される。 – 繰り返しテストしたくても、コスト面でとうてい困難 3) Delivery: 必要なスケジュールで必要なテストができない – テストのかなり前にアプリケーションテストのスケジュールと深度を決める必要がある。 – 優秀なテスト担当者のリソースも不足している。
- 3. Cigital 3D QCDの大幅な改善を実現できます。 | Enabling Security for Developers | ©Asterisk Research, Inc. 3 1. Quality: 開発セキュリティ専門会社 Cigital のテストとレポート – Cigital の有資格社員による、グローバルのテスト・リソースとノウハウを活用。 – ウェブアプリケーション、モバイルアプリ(Android, iOS)に対応。 – AppScanを含めプロフェッショナルツールを20以上利用し、かつ有効な結果 のみにふるい落としたうえで、分析し、わかりやすい改善提案を提供。 – ダッシュボードから、脆弱性についての各種レポートをダウンロード可能。 2. Cost: 年間コストフィックスモデルにより劇的なコストメリットを実現 – テスト担当者1∼2名の雇用、あるいは数回のテスト発注より安価なプライシング。 – プロ・テストツールのライセンスコストに悩まされることもありません。 – 全テストには3名がアサインされ、しかも全営業日に発注していただけますので 人事面の心配も不要。御社のテスト担当者にとってもレバレッジが効きます。 3. Delivery: オンラインポータルからカレンダーでテスト日程をアサイン – 日程が重複しない限り、何度でも、いくつでも、プロジェクトをセキュリティテストに かけられます。 – テストをオーダーしてから、深度の変更も可能です。 – 日程重複が必要な場合には、アラカルト・オプションで対応可能です。
- 4. Cigital 3D は、 お客様のセキュアなデリバリーを効果的に実現します。 | Enabling Security for Developers | ©Asterisk Research, Inc. 4 CIGITAL • 米国最大のソフトウェアセキュリティに特化 したコンサルティング企業 • コードレビュー、ペネトレーションテストなど 20年以上の実績＆ノウハウ • 必要なスキルセットを組み合わせた体制で 最適な手法でテストを実現、そして解説 ASTERISK RESEARCH • レポートの日本語化＆説明 • 日本語での丁寧なローカルサポート • 改善に向けてのセキュア開発のご支援 ※上記のサービスはオプションとしてご提供しております。 お客様 1. オンラインポータルから、いつでもテストスケジュールをアサイン 2. システムの種別・複雑さに合わせて、テストメニューを設定・調整 3. レポート＆セキュリティエキスパートとの相談から、スピーディーに改善 セキュアなデリバリー実現のQCDの向上 日本でのエキスパート対応による ローカルサポートの充実 x
- 6. 3D Security Test as a Service 活用しやすいレポート 日本語への翻訳もご依頼可能 | Enabling Security for Developers | ©Asterisk Research, Inc. 6 High Priority Findings VerScal Privilege EscalaSon Descrip3on: • VerScal privilege escalaSon occurs when it‘s possible for an unauthenScated or lower privileged user to access resources or …. Instances: • www.genericlabs.com/ep/login Evidence: Likelihood: High Impact: High Remedia3on: • EnStlement checks should be performed on the server on every request to validate that the user has the needed privileges …. 読みやすいレポートとの定評があります。 オプションで部分的に日本語化のご依頼も可能です。 レポートは、シンプルで明快な構成で、活用・ 改善にスムーズにお使いになれます。 脆弱性の解説、脆弱性の影響、再現方法に 加え、すぐに使える改善提案も含みます。
- 7. 3D Security Test as a Service ペネトレーションテスト内容のイメージ | Enabling Security for Developers | ©Asterisk Research, Inc. 7 テストの種類 概要 対象 レポートまでの 所要日数 Dynamic Security Scanning DSS 複数の動的解析ツールを活用した、自動的なアプリ ケーションセキュリティテストと分析 １ユーザロール対応（ログインユーザ、など） 開発中あるいは定期的な診断の 対象となるアプリケーション 2営業日！ Automated Ethical Hack AEH さまざまな専用ツールを組み合わせた、包括的なセ キュリティテストとエキスパートによる分析 ２ユーザロール対応（一般ユーザと管理者など） 中程度リスクのアプリケーション、 また改修 3営業日！ Manual Ethical Hack MEH ツールによるテストに加え、より詳細な脅威モデリン グを実施し、ビジネス・ロジックを分析。 重要性の高いリスク及びクリティカルな脆弱性を特 定するためのエキスパートによる手動の徹底的なセ キュリティテストを実施。 クリティカルなデータやプロセスを 扱うアプリケーション 5営業日！ 需要に柔軟に対応できる、3種類のペネトレーションテストを年間固定 年間サブスクリプションでオンデマンド・テストをアサイン ＊ツールについてはIBM AppScanをはじめ20以上の エキスパート・ツールを適切に組み合わせて実施します。
- 8. 3D Security Test as a Service 各レベルごとの調査概要 | Enabling Security for Developers | ©Asterisk Research, Inc. 8 検査のスコープにおける脆弱性監査レベル 動的 セキュリティ スキャン DSS 自動 ハッキングテスト AEH 手動 ハッキングテスト1 MEH1 手動 ハッキングテスト2 MEH2 アプリケーション範囲 2.1 未認証ページに対するセキュリティ脆弱性テスト ✔ ✔ ✔ ✔ 2.2 認証ページに対するセキュリティ脆弱性テスト ✔ ✔ ✔ ✔ 2.3 手動のセキュリティテストにおける顧客特有のチェックリスト (20テストまで) ✔ ✔ ✔ 2.4 全ページに対する手動でのセキュリティ脆弱性テスト ✔ ✔ 2.5 リスクプロファイルに沿ったビジネスロジックテスト ✔ ✔ 脆弱性発見 3.1 複数の自動スキャンツールを使った脆弱性発見 ✔ ✔ ✔ ✔ 3.2 ツールによるスキャン結果から、手動での誤検知 （false positives)の抑制 ✔ ✔ ✔ ✔ 3.3 OWASP Top 10, CWE/SANS Top 25などのクライテリア ✔ ✔ ✔ ✔ 3.4 1つのユーザロール（役割・権限設定）を用いた アプリケーション検査 ✔ ✔ ✔ ✔ 3.5 2つのユーザロールを用いたアプリケーション検査 ✔ ✔ ✔ 3.6 垂直な権限エスカレーション ✔ ✔ ✔ 3.7 3種類のユーザロールまでを用いたアプリケーション検査 ✔ ✔ 3.8 水平な権限エスカレーション ✔ ✔ 3.9 ビジネスロジックフローの特定 ✔ ✔ 状況を鑑みた実施可能なガイダンスの提供 4.1 Cigital社のエキスパートによる改善ガイダンス ✔ ✔ ✔ ✔ 4.2 関係者と開発者を含めたレポート説明のオンライン会議(英語) ✔ ✔ ✔
- 9. ありがとうございます 9 本資料に関するお問い合わせ Cigitalサポートデスク support@rsrch.jp 03-6380-9133 Partnerships / Alliances partners@rsrch.jp Training / Educa3on edu@rsrch.jp Purchase Enquiries sales@rsrch.jp Customer Support support@rsrch.jp PR / Media press@rsrch.jp 株式会社アスタリスク・リサーチ Asterisk Research, Inc. 〒101-0051 東京都千代田区神田神保町2-2-202 haps://www.asteriskresearch.com/ | Enabling Security for Developers | ©Asterisk Research, Inc.