VAddyの機能

VAddyの仕組み

VAddyはDynamic Security Application Testing(DAST)による脆弱性診断を行います。
お客様のテスト環境のWebサーバに対してHTTPリクエストを実際に送信し、受け取ったレスポンスデータを検証して脆弱性の有無を判断しています。
サーバのOS、ミドルウェア、開発言語に関わらず検査できます。

検査項目

基本プラン	Advanced IPA基準対応^*	Enterprise	Professional
SQLインジェクション SQLインジェクションにつながる検査データを送信し、HTTPレスポンスのステータスやエラー⽂⾔などをチェックし、任意のSQLが実行できないか確認します。
クロスサイトスクリプティング反射型XSSと蓄積型XSSを確認します。反射型は検査リクエスト送信時のレスポンスで発⾒したXSS、蓄積型は検査リクエスト送信後に別の画⾯で後から発⾒したXSSとなります。
コマンドインジェクション OSのコマンドが実⾏できるような検査データを送信します。コマンドが実⾏されたかをレスポンスから判断し、任意のコマンドが実行されないか確認します。
リモートファイルインクルージョンリモートファイルを読み込み、任意のコードが実⾏できるような検査データを送信します。コードが実⾏されたかをレスポンスから判断し、任意のコード実行ができないか確認します。
ディレクトリトラバーサル OS内のファイルが外部から表⽰できるような検査データを送信し、そのファイル内容が外部から閲覧できないか確認します。
ブラインドSQLインジェクションレスポンスの画⾯内容やHTTPステータスからSQLインジェクションか判定できない場合でも、一定時間スリープさせるSQLの検査データを送信し、反応速度の遅延パターンから脆弱性がないか判定します。
HTTPヘッダインジェクション HTTPヘッダ情報が改ざんできないか確認します。対策が不十分な場合は、コンテンツの改ざん、任意のCookie発行、キャッシュ汚染などにつながります。
XXE(XML External Entity) 任意のXML検査データを送信して外部実体参照が行われないか確認します。対策が不十分な場合は、DoS攻撃や内部ファイル・ネットワークへのアクセスにつながります。
安全でないデシリアライゼーション改ざんしたシリアライズデータが外部から⼊⼒可能か検査します。対策が不十分な場合は、DoS攻撃や任意のコード実行につながります。
SSRF 任意のURLのコンテンツを取りに⾏く処理があるか検査します。SSRF脆弱性によりクラウドインフラのメタデータが取得され、情報漏洩などにつながります。
⾮公開ファイル検査検査対象サーバのURLパスに対して、.git/config、.svn/entriesファイル、.envファイルが公開されていないか検査します。これらのファイルが公開されていると機密情報の漏洩につながります。
CSRF検査 POST/PUT/DELETE/PATCHメソッド時にCSRF対策ができているか検査します。対策が不⼗分な場合は、ログイン後の利用者のみが編集可能な情報の改ざんにつながります。
メールヘッダインジェクション検査メールのヘッダが外部から変更できないか検査します。対策が不⼗分な場合は迷惑メール送信の悪用につながります。
クリックジャッキング検査クリックジャッキング対策ができているか検査します。対策が不⼗分な場合は、ログイン後の利用者のみが利用可能なサービスの悪用につながります。
バッファオーバフロー検査⼊⼒⽂字列を⻑い⽂字列にしてバッファオーバフローが発⽣しないか検査します。この脆弱性はプログラムの異常終了や任意のコード実行につながります。
セッション管理不備の検査セッション管理への攻撃の対策ができているか検査します。対策が不十分な場合は、ログイン後の利用者のみが利用可能な情報の漏洩・改ざんにつながります。
アクセス・認可制御不備の検査他者になりすまして情報が取得できるか検査します。対策が不十分な場合は、情報漏洩につながります。
Evalインジェクション動的に渡したコードが実行できる eval 機能が利用されているか検査します。対策が不十分な場合は悪意のあるコード実行につながります。
*IPAが提唱する「安全なウェブサイトの作り方」（チェックリスト）に準拠した診断を実施いただけます。	Advanced	Enterprise	Professional

Advancedプラン(IPA基準対応) SQLインジェクション対策にクロスサイトスクリプティング対策に

検査できる環境・アプリケーションの種類

一般的な機能や構成を持つWebアプリケーションは全て検査可能です。
ログイン機能があるアプリケーションでも追加料金はかかりません。

ログイン機能がある
アプリケーション
複数のFQDNをまたぐ
アプリケーション
イントラネット内のWebサイト
SPA
(Single Page Application)
API Server

複数のユーザーで診断の実施が可能

一つの契約で3つのFQDN（ドメイン）を検査対象として登録できます。
さらにそれらのサーバーに検査を実行するユーザーを無料で紐付けることもできます。

オーナーアカウントがプランを契約すると、検査を実行するユーザーアカウントを無料で紐付けることが可能です。

組織管理機能が管理者の負担を大幅に軽減

自社社員のアカウント利用状況の把握は情報システム部などの管理部門にとって避けては通れない業務の一つです。Enterpriseプランの「組織管理機能」では、社員のVAddyアカウント作成は管理者によって行われるので、誰がどのアカウントを持っているかは一目瞭然。社員の就職、退職、異動などによって生じるアカウントの入れ替え作業も容易になります。
もちろん、アカウントリストはCSVでダウンロード可能。自社のアカウント台帳への展開も負担になりません。

すでにVAddyを複数アカウントで共同利用しているお客様向けのアップグレードサポートも予定しています。