ＮＴＴ西日本は、昨今多発している企業や自治体へのＷｅｂサイトを狙った不正アクセスによる情報漏えいなどを未然に防止するため、Ｗｅｂサイト上で使用されるＷｅｂアプリケーションを利用した情報ネットワークシステムに関する安全性を診断し、対策をサポートする「Ｗｅｂアプリケーションセキュリティチェックサービス」（以下、本サービス）を、平成１７年１１月１５日（火）から提供開始します。
１．背景 |
 |
昨今のＩＴ化の急速な進展に伴い、企業や自治体においては、情報ネットワークシステムのＷｅｂシステム化が一般的となり、ネットショッピングなどの電子商取引をはじめ、ホームページ上での各種相談や行政手続の申請など、Ｗｅｂサイトを活用した様々なビジネスやサービスが展開されています。
その一方で、Ｗｅｂサイトへの攻撃により、Ｗｅｂサイトからの情報漏えい、Ｗｅｂサイトの改ざん、Ｗｅｂサーバの停止といった事件・事故が多発し、その攻撃手法も高度化しており、特に、Ｗｅｂサイト上で使用するＷｅｂアプリケーション※1の設計不備などを狙った攻撃に対しては、従来のファイアウォールの導入やセキュリティパッチの適用といったセキュリティ対策では不十分となってきています。
このような状況下において、Ｗｅｂサイトを所有する企業や自治体では、Ｗｅｂサイト上で使用されるＷｅｂアプリケーションの安全性の確立が急務となっています。
そこでＮＴＴ西日本では、従来からセキュリティソリューションの一環として提供している「セキュリティ診断サービス（図１参照）」の新たなラインナップとして、企業や自治体のＷｅｂサイト上で使用されるＷｅｂアプリケーションの安全性を診断し対処方法をサポートする本サービスを提供することとしました。
| ※1 |
Ｗｅｂサーバ上のプログラムで、Ｗｅｂブラウザからのリクエストによって動的なコンテンツを提供するものです。Ｗｅｂアプリケーションの利用シーンとして、Ｗｅｂサイト上のアンケート入力フォームや問合せフォーム、商品注文フォームなどがあります。 |
|
２．サービスの概要 |
|
本サービスは、情報ネットワークシステムに関するコンサルティングサービスです。経験豊富なセキュリティ専門スタッフが、インターネット経由でお客様のＷｅｂサイトで使用されるＷｅｂアプリケーションに対して、情報漏えいなどに繋がる問題点（不正なスクリプトの挿入、データベースの不正操作＜ＳＱＬインジェクション※２＞など）の有無を診断します。
また、オンサイト報告会を実施し、診断によって発見された問題点とその対処方法について、きめ細かなサポートを行います。（図２参照）
| ※2 |
ＷｅｂブラウザからＷｅｂサーバへのリクエストの際に、ＳＱＬ文（データベースを操作する言語）を含む特殊な入力データを挿入することで、Ｗｅｂサーバと連携しているデータベースを不正に操作する攻撃手法。 |
（１）サービスメニュー
本サービスは、株式会社ラックと住友商事株式会社の協力を得て、以下３つのタイプを提供します。 |
|
| <1>ベーシック診断タイプ |
|
情報漏えいの恐れなどのあるアンケート入力フォームや問い合わせフォームなどに利用しているＷｅｂアプリケーションに特化して診断を実施します。約２週間で事前ヒアリングから診断、報告会実施までを行います。 |
|
■参考価格：５８万円（税込） |
<2>スタンダード診断タイプ |
|
情報漏えいの恐れなどのあるＷｅｂアプリケーションをはじめ、商品注文フォームやユーザ認証などベーシック診断タイプよりも広範囲なＷｅｂアプリケーションに対して診断を実施します。約３週間で事前ヒアリングから診断、報告会実施までを行います。 |
|
■参考価格：９８万円（税込） |
<3>アドバンスト診断タイプ |
|
お客様の要望をヒアリングした上で、診断対象とするＷｅｂアプリケーションを個別に選定し、ベーシック／スタンダード診断タイプよりも詳細な項目で診断を実施します。 |
|
■価格：個別見積り |
|
|
|
|
|
（２）主な診断項目
Ｗｅｂアプリケーションにおいて狙われやすい項目に対し診断を実施します。 |
| |
| ・ |
クロスサイトスクリプティング（不正スクリプトの挿入） |
| ・ |
ＳＱＬインジェクション（Ｗｅｂアプリケーションと連携したデータベースの不正操作） |
| ・ |
ＷｅｂブラウザとＷｅｂサーバ間のセッション管理 |
| ・ |
ユーザ認証方法（認証を回避した不正アクセスやなりすましによるログインなど） |
| ・ |
機密性の高いファイルやデータの公開の有無 |
|
など |
|
|
３．提供開始日 |
|
平成１７年１１月１５日（火） |
