分かれば、
怖くない。
怖いのは、分からないから。
どこから破られるのかを図で見せて、12 の穴を攻める側から全部診ます。
顧客情報や決済を預かる本番の Web サービス・SaaS を運用していて、うちは大丈夫なのか、はっきりしないままの方へ。
まず、入られるのはどういう時か。3 つだけ見てください。
入られるのは、こういう時。
うちは大丈夫か。その答えが出ないのは、入られ方を見たことがないからです。
まず、よくある 3 つの入られ方を絵にしました。
鍵を、置き忘れたまま。
プログラムの置き場に、パスワードや鍵が書かれたまま残っていることがあります。外からそれを拾われると、正面の玄関を鍵で開けて入られます。
番号を、ひとつ変えただけで。
注文番号を 1 つ変えてページを開くと、他人の注文が表示されることがあります。ログインはできていても、本人のデータかどうかを確かめる仕組みが抜けていると起きます。
部品が、古いまま。
サーバーやアプリは、世界中で使われている部品の組み合わせでできています。その部品に、すでに知られている穴があると、そこから中へ入られます。
でも、入口はこの 3 つだけではありません。
穴は、全部で 12。
入られ方を数えると、12 に分かれます。
12 が見えれば、どこまで診れば終わりなのかが分かります。
- 1鍵やパスワードがソース置き場に残っていないか玄関の鍵が、外の郵便受けに入ったまま 秘密情報のソース漏洩
- 2設定ファイルが外から丸見えでないか家の間取り図が、道路から読める 環境変数・設定の露出
- 3会社の PC の入り口が弱くないか社員の PC が、裏口になる 端末のマルウェア感染
- 4アプリに鍵を生のまま置いていないか金庫の番号を、金庫の上に貼っている メモリ上の鍵窃取
- 5弱いパスワードが通ってしまわないか1234 で開いてしまう鍵 弱いパスワード・使い回し
- 6他人のデータが見えてしまわないか隣の部屋のドアが、自分の鍵で開く 認可の穴（IDOR / BOLA）
- 7応答に生のメールアドレスやカード番号が出ていないか封筒に入れず、はがきで送っている 平文データの残留
- 8入力が裏のデータベースに危険な形で届かないか窓口の紙に書いた文字が、金庫への命令になる SQL インジェクション
- 9ログインの鍵が盗まれやすくないか合鍵が、ポケットからすぐ落ちる Cookie・トークン窃取
- 10バックアップや CSV が無防備に置かれていないか倉庫の裏口に、控えの束を置いている バックアップからの漏洩
- 11クラウドの権限が広すぎないか掃除に来た人が、金庫の鍵まで持っている KMS・クラウド権限の奪取
- 12古い部品に既知の穴がないか錆びた窓枠が、外から外せる 既知脆弱性でのサーバー乗っ取り
3 と 4 は、あなたの PC に何も入れず、中身も覗きません。部品の情報と質問票で診ます。
ここまでが、怖さの正体です。次は、これをどう診るか。
その 12 を、全部診ます。
12 の穴を、攻める側の目で順番に確かめます。
診る手順は、いつも同じ 6 段です。
- 調べるどこが外から見えているかを洗い出す
- 安全に試す壊さない検査で弱点を探す
- 判定する攻撃の経路をつなぎ、本当に突破できるかを決める
- 直し方を出す見つけた弱点ごとに、直す手順を示す
- もう一度確かめる直した後に、同じ経路で再び試す
- 見張り続ける定期的に回し、変化があれば気づく
判定は、3 つのどれか。
AI の勘で、危険とは言いません。
突破できる、と確定するのは、あなたの承認を受けた診断の後です。
診るのは分かった。でも、壊されない？
診ている間、壊さないための 3 つの錠。
許可した範囲から、出ない。
対象外と決めた場所は、何より先に拒否します。判断は AI の気分ではなく、決まった 9 段の手順で機械的に行います。
おかしければ、即止まる。
想定外のデータが見えた、エラーが増えた、そんな時は自動で止まります。停止ボタンは、誰の指示よりも優先です。
危ない操作は、人が承認。
危険度の高い診断は、自動では動きません。あなたの承認とテスト用アカウントがそろった時だけ、専門家が手で行います。
それを全部、システムで動かせるのが、このサービスです。
仕組みは分かった。では、それを実際にシステムで全部動かせるのは？
VibeGuard Attack。
12 の穴、6 段の流れ、3 つの錠。ここまで読んだものは、すべてひとつのシステムに入っています。
画面は 16。すでに本番で動いています。
これが全部、システムに入っています。
動かす人と、残る記録。
誰が何をできるかは、5 段階の役割で分けています。承認、突破の確定、緊急停止は、上位の役割にしかできません。
誰が、いつ、何を、なぜ行ったかは、後から書き換えできない形で残ります。
業界の指針と、同じ原則で。
範囲の外を攻撃しない。おかしければ止まる。記録を残す。
AI が行うペンテストの業界指針（OWASP APTS）の考え方に沿って設計しています。
許可を、先にいただきます。
攻撃テストは、あなたの許可を書面でいただいてから行います。だから、適法に実施できます。
言えること
- 本番で動いています（画面 16）
- 12 の穴・6 段の流れ・3 つの錠は、全部システムに入っています
- 実行の記録は、後から書き換えできません
まだ、言わないこと
- 導入実績・お客様の声（まだ載せません）
- 料金の数字（範囲を伺ってからお伝えします）
- 「100% 安全」（証拠がある時だけ、突破できるかを言います）
よくある質問
本番のサイトが、壊されたりしませんか。
自動で回すのは、壊さない検査だけです。リクエストの速さに上限を設け、あなたが決めた時間帯だけ動きます。エラーが増えたり想定外のデータが見えたりすれば、その場で止まります。
自社のサイトだと、どうやって確認するのですか。
DNS への記録、指定ファイルの設置、リポジトリ、手動の 4 つの方法から選べます。確認が取れるまで、テストは 1 回も始まりません。確認には期限があり、切れたらもう一度確かめます。
危険な診断は、誰が行うのですか。
専門家が、手で行います。あなたの承認と、テスト用のアカウントがそろった時だけです。AI が自分で進める場合も、危険な操作は候補に入らず、手数の上限で必ず止まります。
料金はいくらですか。
初回は、無料の攻撃面チェックから始められます。その先の内容と料金は、範囲を伺ったうえでお伝えします。お問い合わせください。
どのくらいで結果が出ますか。
診る範囲によります。まず外から見える範囲を確かめ、そこから順に進めます。範囲が決まれば、目安をお伝えします。
守る側の VibeGuard と、何が違うのですか。
VibeGuard は、守りの設定や状態を点検するサービスです。VibeGuard Attack は、攻める側から実際に試して、入れるかどうかを確かめます。守りを整え、攻めて確かめる。両方そろって、はっきりします。
残る不安があれば、ここで聞いてください。
全部診てから、安心。
怖かったのは、分からなかったから。
12 の穴が分かり、全部診てもらえる。それが、このサービスです。