本文へスキップ
BigTree108

サイバーセキュリティ・ペネトレーションテストサービス

サイバーセキュリティ・ペネトレーションテストサービス：Webアプリケーションとモバイルアプリ、API、ネットワーク、クラウドアカウントのペネトレーションテスト、アプリケーションセキュリティとセキュアコードレビュー、クラウドセキュリティ態勢、セキュリティ監視とインシデント対応、ISO 27001、SOC 2、PCI DSSの技術面を提供します。御社チームに加わる専任のセキュリティエンジニアとペネトレーションテスターとしても承ります。

提供するセキュリティサービス

  • Webアプリケーションのペネトレーションテスト

    認証、セッション、アクセス制御、ビジネスロジック、インジェクションを、OWASP Web Security Testing Guideに沿って手作業でテストします。自動スキャンは出発点であり、結果そのものではありません。

  • モバイルアプリとAPIのペネトレーションテスト

    iOSとAndroidのアプリをOWASP MASVSに照らして、REST、GraphQL、gRPCのAPIをOWASP API Security Top 10に照らしてテストします。オブジェクトレベルの認可、マスアサインメント、レート制限、目的を超えて有効なままのトークンなどが対象です。

  • ネットワークとActive Directoryのペネトレーションテスト

    外部境界と内部ネットワークのテスト、BloodHoundでマッピングするActive DirectoryとEntra IDの攻撃経路、Wi-Fiのテスト、ご要望に応じたフィッシング訓練を行います。いずれも書面による許可のもとで実施します。

  • アプリケーションセキュリティとセキュアコードレビュー

    新機能の脅威モデル、認証・認可・データ処理コードの手動レビュー、開発者が検出結果を信頼できるまで調整したCodeQLまたはSemgrepによる静的解析、御社自身のコードで見つかった問題に基づくセキュアコーディング研修です。

  • クラウドセキュリティ態勢

    AWS、Azure、Google Cloudのアカウントを、Security Hub、Defender for Cloud、Security Command Center、Prowler、Wizで継続的にチェックします。公開ストレージ、過大なロール、長期間有効なキー、無効になっているログを対象とし、修正はInfrastructure as Codeで書きます。

  • セキュリティ監視とSOC

    クラウド、ID、エンドポイント、アプリケーションのログをMicrosoft Sentinel、Splunk、Elastic Security、Wazuhに集約し、検知ルールをMITRE ATT&CKにマッピングし、すべてのデバイスにEDRを導入します。アラートは、合意した当番表に沿ってアナリストが仕分けします。

  • インシデント対応

    封じ込め、フォレンジックのための証拠保全、根本原因の特定、クリーンなバックアップからのシステム復旧を行い、そのうえで文書によるレポートと、より早く検知できたはずの検知ルールを提供します。机上演習で、必要になる前に計画を検証します。

  • コンプライアンス自動化

    ISO 27001、SOC 2、PCI DSS、HIPAA、NIS2、DORAの技術面です。管理策を御社のシステムに組み込み、Vanta、Drata、または御社のスクリプトで証跡を自動収集し、アクセスレビュー、バックアップ、変更管理は、スクリーンショットではなく記録で証明します。

  • ハードニング

    サーバー、コンテナ、クラスター、ノートPCをCISベンチマークに適合させ、産業用制御ネットワークをIEC 62443のゾーンに分離します。設定はコードで適用し、元に戻らないよう定期的に検証します。

セキュリティエンジニアおよびペネトレーションテスターを採用する

  • 専任のセキュリティエンジニアおよびペネトレーションテスター

    御社のチームにフルタイムで参画し、御社のツールとプロセスの中で働き、御社のリードに報告するセキュリティエンジニアおよびペネトレーションテスターです。面接は御社が行い、ウクライナでの雇用契約、給与支払い、請求書発行、休暇管理は当社が担います。

  • セキュリティエンジニアリングプロジェクト

    スコープと固定の計画が定まったセキュリティエンジニアリングの一区切りの業務です。当社側の担当リードが成果に責任を持ち、進捗は御社のチャネルで報告します。

  • 継続的なセキュリティエンジニアリング

    セキュリティエンジニアリングを継続サービスとして提供します。毎月同じメンバーが担当し、優先順位は御社がバックログで決め、稼働時間は当社のポータルと請求書で確認できます。

スペシャリストが御社のチームに参画する方法は専任チームのページで、プロジェクトのデリバリー、引き継ぎ、料金の考え方はアウトソーシングのページで説明しています。

御社のセキュリティエンジニアリングを担当するメンバー

  • ペネトレーションテスター

    Web、モバイル、API、ネットワーク、クラウドのテスト

  • アプリケーションセキュリティエンジニア

    セキュアコードレビュー、脅威モデル、パイプラインでのスキャン

  • クラウドセキュリティエンジニア

    態勢、ID、Infrastructure as Codeによる修正

  • SOCアナリストおよびインシデント対応担当

    検知、仕分け、対応

  • コンプライアンスエンジニア

    ISO 27001、SOC 2、PCI DSSの管理策と証跡

セキュリティでの進め方

すべてのテストは、書面のスコープから始まります。対象のシステムとアカウント、時間帯、何かが壊れたときの連絡先、各システムの所有者による書面での許可を定めます。テストは可能な限りステージングに対して実施し、検出事項はそれぞれ重大度、再現手順、修正方法とともに報告し、修正後の再テストで1件ずつクローズを確認します。

検出事項は、問題のある場所で修正します。コードの変更は開発者が、クラウドとネットワークの変更はInfrastructure as Codeで行い、それぞれに回帰テストまたは検知ルールを添えて、クローズした事項がクローズのままであるようにします。当社自身のシステムにも同じ基準を課しています：当社のノートPCは、Rustで自作したエージェントがセキュリティベースラインに照らして点検しており、対象はWindows、macOS、Ubuntuで、点検項目はISO 27001、CIS、Cyber Essentials、Essential Eight、SOC 2に対応付けています。

その他のクラウド・DevOps・セキュリティサービス

クラウド、DevOps、セキュリティの概要

サイバーセキュリティとペネトレーションテストに関するご質問

セキュリティエンジニアは、どの業界で仕事をしていますか。

主にサイバーセキュリティ製品の企業で、検知コンテンツ、製品テスト、セキュリティ研究を担当します。そのほか、PCI DSSとDORAの下にあるフィンテックと銀行、制御ネットワークをオフィスITから分離する産業・エネルギー企業、チェックアウトと顧客アカウントを守るEC、SOC 2監査と顧客のセキュリティレビューに備えるSaaS企業、ホスティング・通信事業者と公共部門のシステムです。

ペネトレーションテストのレポートには何が含まれますか。

経営層向けのサマリーに続けて、すべての検出事項について、CVSSによる重大度、影響を受けるシステム、再現手順、証跡、推奨する修正を記載します。御社のチームが修正をデプロイした後は、再テストでクローズした事項を記録します。

ISO 27001やSOC 2の認証取得を支援してもらえますか。

認証は認定を受けた認証機関が発行し、SOC 2レポートは独立した監査法人が発行するため、どちらもサプライヤーが約束できるものではありません。当社が担うのは技術面です。監査人がテストする管理策を実装し、準備状況レビューで見つかったギャップを修正し、いつでもエクスポートできるよう証跡を整えておきます。

テストが本番システムに支障を与えませんか。

標準ではありません。テストはステージング環境がある場合はそちらに対して行います。本番をテストする必要がある場合は、合意した時間帯、合意した頻度で、破壊的なペイロードを使わず、双方に担当者を置いて実施します。

セキュリティエンジニアおよびペネトレーションテスターは、どのくらいで開始できますか。

適任のセキュリティエンジニアがすぐに対応可能な場合、開始までの条件は、御社の面接と、NDAおよび知的財産権の譲渡契約の締結のみです。そうでない場合は人材を探索し、通常は2〜3週間以内に候補者のプロフィールをお出しします。御社が承諾するまで、誰も業務を始めません。

BigTree108を通じてセキュリティエンジニアおよびペネトレーションテスターを採用するには、どうすればよいですか。

必要な業務内容、シニアリティ、稼働時間をお知らせください。1〜2名の候補者をプロフィールとともにご提案し、御社が自社で採用する場合と同じ形で面接を行います。契約はBIG TREE 108 LLCとの1本、請求書は月1通です。

成果物の権利は、誰に帰属しますか。

御社です。すべてのスペシャリストはBigTree108と署名済みの契約を結び、成果物のすべてを会社に帰属させています。さらに、御社との契約により、その権利は御社に引き継がれます。コード、デザイン、ドキュメントは、当社だけが変更できる場所ではなく、御社のリポジトリとツールに納品します。

ペネトレーションテストやセキュリティエンジニアをお探しですか。

対象システム、それが動いている場所、目標とする監査日をお知らせください。1営業日以内に、スコープ案、テスト計画、または候補者のプロフィールをお届けします。

hello@bigtree108.comにメールする対応の流れ