脆弱性診断
ウェブサイトや業務システムに、外から侵入できる穴がないかを調べます。侵入テストと脆弱性の検査を行い、いま正常な状態かどうかを判断して、直し方まで報告します。検査は、お客様の許可を書面でいただいた対象にだけ行います。
やること
| 侵入テスト | 攻撃者と同じ手順で、外から入り込めるかを実際に試します。入り込めた場合は、どこまで到達できるかを確かめます。 |
|---|---|
| 脆弱性の検査 | 使われているソフトウェア（PHP、CMS、ライブラリ）の版と既知の弱点を照らし合わせ、設定の穴（公開してはいけないファイル、認証の抜け、不要な入口）を探します。 |
| 設定の点検 | 通信の暗号化、応答ヘッダー、ファイルの権限、管理画面の守りなど、サーバーとアプリの設定を見ます。 |
| 報告 | 見つかった問題を危険度の順に並べ、再現の手順と直し方を書いた報告書をお渡しします。 |
| 再検査 | 直したあとに、同じ項目をもう一度検査して、閉じたことを確かめます。 |
進め方
- 対象と範囲を決めます。どのサイト・どのシステムを、どこまで調べるかを決め、検査の許可を書面でいただきます。許可のない対象には触れません。
- 外から見える情報を集めます。使われているソフトウェアの版、公開されている入口、設定の見え方。攻撃者が最初に見るところです。
- 検査します。本番に影響が出ないよう、時間帯と方法をお客様と合わせます。データを書き換えたり消したりする検査は、お客様の了解なしには行いません。
- 報告します。問題の一覧、危険度、再現の手順、直し方。直すのはお客様側でも、当社でも構いません。
- 直したあとに、もう一度検査します。閉じたことを確かめて終わりです。
「正常」の判断基準
当社が「正常」と判断するのは、次の状態です。
- 使われているソフトウェアに、修正の出ている既知の脆弱性が残っていない
- 外から到達できる入口が、必要なものだけになっている
- 認証のない人が、見てはいけないものを見られない。書き換えてはいけないものを書き換えられない
- 通信が暗号化され、サーバーの基本的な守りの設定が入っている
- 使っているソフトウェアの版が、外から読めないようになっている
すべてを満たしても「絶対に安全」とは言えません。新しい脆弱性は毎週のように公表されます。当社の報告書は「この日の時点で、この範囲を調べた結果」として書きます。
対象
- ウェブサイト
- WordPressなどのCMSで作られたサイト、静的なサイト。プラグインや本体の版、管理画面の守り、設定の穴を見ます。
- 業務システム
- PHPやJavaScriptで作られた社内システム、顧客向けのシステム。ログインの仕組み、権限の分け方、入力の扱い、ファイルのアップロードまわりを見ます。
- サーバーの設定
- 共用レンタルサーバーからVPSまで。公開範囲、権限、暗号化、ソフトウェアの版を見ます。
当社での実践
当社が開発・販売している業務システムは、納品の前に自社で同じ検査にかけています。認証、入力の扱い、ファイルの権限、サーバー設定を機械的に通し、通らなければ納品しません。
2026年10月にPHPの緊急脆弱性が公表されたときは、当日のうちに当社と運営先の全サイトを点検し、対応を終えました。その点検の手順を、そのままお客様に提供します。
まず外から見える範囲だけ知りたい場合は、当社が運営するオリウェブの無料ホームページ診断でも、守りの基本4項目（ソフトウェアの版の露出、通信の固定、埋め込みの防止、中身の種類の固定）を確かめられます。
料金
対象の数と範囲、検査の深さで変わるため、内容を確認のうえお見積りします。範囲を決める打ち合わせと、外から見える情報の確認までは無料です。