Webアプリケーション
脆弱性診断サービス
Webアプリケーション脆弱性診断とは
Webアプリケーション脆弱性診断は、実際に稼働するWebサイトやWebシステムを対象に、攻撃に使われる手法などを用いて、不正アクセスや情報漏えいにつながるセキュリティ上の弱点を調査するサービスです。
バルテスでは、ツールによる診断と専門エンジニアによる手動診断を組み合わせ、実際の画面や機能を操作しながら、認証・認可の不備などツールだけでは見つけにくい問題も確認します。
発見した問題は危険度や対策方法とともに報告し、修正の優先順位を判断できるよう支援します。
Webアプリケーション脆弱性診断の対象
ECサイトや会員サイトをはじめ、業務システムなど、さまざまなWebアプリケーションの診断に対応しています。下記以外のWebサイト・システムについても、お気軽にご相談ください。
診断実績・対象（抜粋）
- 銀行系サイト
- ECサイト、予約サイト
- 官公庁向けシステム
- 金融系システム
- 航空系システム
- 会員サイト、求人サイト
- 派遣管理システム
- 人事管理システム
- 不動産管理システム
- チャットボット
- ポイント懸賞サイト
- ローン申し込みサイト
- キャンペーンサイト
- マッチングサービスサイト
- 仮想通貨関連システム
- 帳票システム
- 損保系システム
- 動画配信サービス
- オンライン面談システム
- 決済代行システム
- コールセンターシステム
- フィンテック系サービス
- チケット購入発行サイト
- ファイルストレージサイト
バルテスのWebアプリケーション脆弱性診断サービスの特長
主な診断項目と診断方法
実際のWebシステムに対して入力・画面遷移・権限変更などの操作を行い、不正なデータ取得・改ざんにつながる脆弱性から、認証・認可の不備まで幅広く確認します。
以下の診断項目をはじめ、対象システムの仕様やご要望に合わせた診断をご提案します。
診断すべき範囲や項目がわからない場合も、ヒアリングを通じてご案内しますので、安心してご相談ください。
| 主な診断項目 | 確認する内容 |
|---|---|
| SQLインジェクション | 不正な入力によって、データベース内の情報が取得・改ざんされるおそれがないかを確認します。 |
| OSコマンドインジェクション | 不正な入力によって、サーバー上で意図しないOSコマンドが実行されるおそれがないかを確認します。 |
| クロスサイトスクリプティング（XSS） | Webページに不正なスクリプトが埋め込まれ、利用者のブラウザで実行されるおそれがないかを確認します。 |
| 認証の不備 | ログインやパスワード再設定などの処理に、なりすましにつながる不備がないかを確認します。 |
| 認可・セッション管理の不備 | 権限のない情報や機能へのアクセス、セッションの不適切な管理による不正利用のおそれがないかを確認します。 |
| アプリケーションの機能の悪用 | 想定外の操作によって、本来取得できないファイルのダウンロードなどができないかを確認します。 |
診断範囲・お見積もりについて
Webアプリケーション脆弱性診断は、診断対象の「リクエスト数」をもとにお見積もりします。対象システムの機能やご要望を伺い、診断箇所を確認したうえで、診断範囲・実施期間・費用をご提示します。
リクエスト数とは？
診断規模を把握するための目安の一つです。画面や機能、通信内容を確認し、実際の診断範囲を整理します。
診断範囲を事前に確認できます
対象のURLや画面一覧などをもとに、診断対象と対象外をお見積もりの段階で確認します。
診断範囲が決まっていない段階でも、お気軽にご相談ください。
診断の流れと実施期間
診断対象やご希望のスケジュールを確認し、事前準備から診断、結果のご報告、修正後の再診断まで対応します。必要な準備は担当者がご案内しますので、初めて診断をご依頼いただく場合も安心してご相談ください。
事前にご準備いただくもの
画面遷移図などのサイト情報、診断用アカウント（ログインが必要な場合）、ヒアリングシートなどをご用意いただきます。画面遷移図がない場合もご相談いただけます。
実施期間の目安
50画面・各画面1機能を診断する場合、開始から報告書提出まで約4週間が目安です。対象システムの規模や診断内容に応じて、個別にスケジュールをご案内します。
お急ぎの場合も、まずはご希望の納期をお聞かせください。診断範囲や実施スケジュールを確認し、可能な限りご要望に沿った進め方をご提案します。
診断報告書と診断後のサポート
診断結果は、脆弱性の内容・危険度・対策方法をまとめた報告書でご提供します。対策の優先順位を判断し、修正を進められるよう、報告内容に関するご質問への回答から修正後の再診断まで支援します。
危険度と対策方法がわかる診断報告書
検出した脆弱性を危険度ごとに分類し、問題の内容と対策方法をご報告します。システムのセキュリティ状況を把握するとともに、修正の優先順位や対応方針の検討にご活用いただけます。
診断担当者によるQAサポート
報告書提出後1か月間、診断を担当したエンジニアが、報告内容に関するご質問にメール・電話で回答します。脆弱性の内容や対策方法について、不明点を確認しながら修正を進めていただけます。
修正後の無料再診断
危険度がMedium以上の脆弱性について、修正後に無料で再診断を実施します。指摘した脆弱性が解消されているかを確認し、再診断報告書をご提出します。
※無料再診断は、報告書提出後1か月以内が対象です。再々診断は有料となります。
診断員による報告会〈オプション〉
診断を担当したエンジニアが、診断結果や対策方法を直接ご説明します。開発担当者や関係者への結果共有、修正に向けた認識合わせにご活用いただけます。
診断実績・品質への取り組み
金融機関や官公庁向けシステム、ECサイト、業務システムなど、さまざまなWebアプリケーションの診断実績があります。これまでの診断で培った知見を活かし、各種基準に基づいた診断をご提供します。
累計2,500件超の実績と、外部からの評価
2,500件を超える診断実績に加え、「IT関係者が推奨するセキュリティ診断」で4年連続No.1を獲得。また、ITトレンド2025年年間ランキング 脆弱性診断サービス セキュリティ診断 セキュリティ診断[急上昇]部門で1位を受賞しています。
IPA「安全なWebサイトの作り方」に準拠
IPAが公開する「安全なWebサイトの作り方」に準拠し、Webアプリケーションのセキュリティ上の問題点を確認します。
情報セキュリティサービス台帳登録済み
経済産業省が定める「情報セキュリティサービス基準」に適合するサービスとして、情報セキュリティサービス台帳に登録されています。
バルテス株式会社
サービス登録番号：019-0037-20
登録日：2020年4月7日
サイバーリスク保険
東京海上日動火災保険株式会社のサイバーリスク保険が診断完了後1年間無料提供されます（最大1,000万円の補償）。
当社診断完了後1年、不正アクセス、改ざんなど、サイバーセキュリティ事故が発生した際に被害調査やデータ復旧といったインシデント対応費用として利用いただける補償を提供いたしますので安心してシステムを運用いただけます。
サイバーリスク保険（1年間自動付帯）
| 付帯期間 | 診断完了後から1年間 |
|---|---|
| 保険料 | 追加の保険料負担なし |
| 補償の対象 | 被害調査・データ復旧などのインシデント対応費用 |
目的に合わせて選べる、関連セキュリティサービス
Webアプリケーションの診断に加え、サーバーの脆弱性確認や、攻撃による影響の検証にも対応しています。また、防御対策から始めたい方向けに、クラウド型WAFもご用意しています。対象システムや課題に合わせて、サービスの組み合わせをご提案します。
サーバーやネットワークもあわせて確認したい方へ
「プラットフォーム脆弱性診断」
Webアプリケーションを支えるサーバーのOSやミドルウェア、ネットワーク機器などの脆弱性を調査します。Webアプリケーション診断と組み合わせることで、アプリケーションと稼働環境の両面から問題点を確認できます。
プラットフォーム脆弱性診断を見る脆弱性が悪用された場合の影響まで確認したい方へ
「ペネトレーションテスト」
検出された脆弱性や設定不備が実際に悪用できるか、疑似攻撃を通じて検証します。Webアプリケーション診断と組み合わせ、不正アクセスの成立や、侵害された場合の影響を確認できます。
ペネトレーションテストを見るまずはWebサイトの防御から始めたい方へ
クラウド型WAF「PrimeWAF」
脆弱性診断の実施前でも、PrimeWAF単体で導入いただけます。Webアプリケーションへの攻撃を検知・遮断し、診断や改修の準備を進める間も、攻撃への防御に役立ちます。
PrimeWAFを見る診断に加えて、日々の攻撃への防御も始めたい方へ
サイバーセキュリティ＋1（プラスワン）
脆弱性診断をご利用のお客様に、PrimeWAFを3か月間無料でお試しいただけるプランです。導入後は計2回のオンラインミーティングで、レポートをもとに攻撃や防御の状況をご説明します。
よくあるご質問
- 診断範囲が決まっていなくても相談できますか？
- はい。対象のシステムやご希望を伺い、診断範囲の整理からご相談いただけます。
- 診断結果はどのような形で受け取れますか？
- 検出したリスクと対応方法をまとめた報告書をお渡しします。報告書サンプルもご覧いただけます。
- 診断によって、サイトの動作に影響はありますか？
- 対象環境と実施方法を事前に確認します。運用上の制約がある場合はお知らせください。
- 診断で発見された問題はどう対応すればよいですか？
- 報告書で対応方法をお伝えします。診断に関するご質問や修正箇所の再診断にも対応します。
- 急ぎで見積もりや診断日程を相談できますか？
- はい。希望時期と対象範囲をお知らせください。対応可能な日程をご案内します。
- 診断期間中にWebサイトを公開してもよいですか？
- 公開中のサイトも、運用状況を確認して実施方法をご相談します。
- APIのみの診断にも対応していますか？
- 対象APIの仕様や認証方式を確認し、診断方法をご提案します。
- 修正後の再診断は依頼できますか？
- はい。診断で発見されたリスクの修正確認に対応します。
その他のご質問・ご相談
上記以外の疑問点や診断範囲・費用については、お問い合わせフォームからご相談ください。
