SCT SECURE SWAT

ウェブアプリケーション・セキュリティとその課題

通常、ウェブアプリケーションの脆弱性診断の手法として、手動によるワンタイム診断と、ツールによる自動診断があります。手動と自動、それぞれに長所と短所があります。

コストが高い手動診断は、ウェブアプリケーションの一部を抜粋して診断するケースが多く、また実施頻度も抑えられがちです。このため手動診断では、絶えず増え続ける脆弱性リスクの継続的な管理ができません。これに対し、自動診断は、低コストで高頻度の診断が可能ですが、ウェブアプリケーションの構成によっては、診断できない箇所が残る可能性がありました。

監視型診断ソリューションSCT SECURE SWAT

SCT SECURE SWATは、「監視型脆弱性診断」というコンセプトに基づき、継続的、網羅的、詳細なウェブアプリケーションの診断を実現しました。まず、ウェブアプリケーションの構成を調査した上で網羅的な脆弱性診断を実施します。その後、ウェブサイトの変化を絶えず監視し、なんらかの変化（ページ数が増えた、送信フォームのフィールド数が増えた、フォームの内容が変更されたなど）を検知すれば直ちに診断士が確認・診断し、危険度の高い脆弱性検知時にはこれを報告します。

常時ウェブアプリケーションを監視することで診断の空白期間をなくし、ウェブサイトのセキュリティレベルを保つために不可欠な情報を提供します。手動診断の深さと、自動診断の網羅性と継続性、二種類の診断手法それぞれが得意とする範囲をカバーするソリューションです。

最低限の運用コストで精確な診断を提供

SCT SECURE SWATは、お客様に運用負荷を最低限に抑えた、ゼロタッチ・ソリューションです。デプロイメント、メンテナンス、すべてをSWATのセキュリティ専門家が行います。お客様に煩雑な設定や導入作業を行っていただく必要はありません。SWATは、最先端のウェブアプリケーション診断ツールとウェブセキュリティ専門家を組み合わせたサービスです。検知した脆弱性に対して確認用の診断と誤検知処理を行い、誤検知の無い診断結果を提供します。

監視と診断で脆弱性リスクを最小限に

低頻度の、たとえば年一回の手動診断では、次の診断が行われるまでに改修が入ったり、新しい攻撃手法が発見されたりといったリスクの増大に対処することができません。自動診断は高頻度の診断が可能ですが、詳細な診断ができず、これもセキュリティレベルを一定の水準に保つことはできますが、ある種のリスクを放置することにつながります。SCT SECURE SWATはこの二種類の手法を組み合わせ、さらに監視というコンセプトを取り入れることで、脆弱性リスクを極小に抑えることが可能なサービスを実現しています。

診断項目

SCT SECURE SWATは、予想されるリスクに基づいて診断項目を分類します。

実際の導入事例

SWATの導入事例を掲載しました。

こちらからご覧ください。