Androidアプリケーション診断

Androidを利用したアプリケーションに対する包括的なセキュリティ診断サービス

これまでセキュリティ診断で培ってきたノウハウと経験を基に、AndroidOSを搭載したスマートフォンやタブレット端末向けのサービスのセキュリティ強化を支援します。Androidアプリケーションだけでなく、サーバ側のAPIも対象とすることでより包括的なセキュリティ診断を行います。

サービスイメージ

サーバ側のAPIを対象としたサーバサイド診断と、Androidアプリケーションを対象としたクライアントサイド診断の2種類の診断を行います。

  • サーバサイド診断

    Web サーバに対する擬似攻撃により、サーバサイドに存在する脆弱性を検出します。弊社独自のツールと専門技術者による手動診断を併用して脆弱性を検出します。

    サーバサイド診断イメージ

  • クライアントサイド診断

    apk ファイルの解析やアプリケーションを動作させることで生成される各種ファイルを確認することで脆弱性を検出します。

    クライアントサイド診断イメージ

特徴

  • 高い脆弱性検出率

    熟練した技術者の診断ノウハウを可能な限り手順化し、また弊社独自のツールを利用することにより、リーズナブルでありながらも高い脆弱性検出率を誇るサービスを提供します。

  • 無償での再診断

    診断終了後、脆弱性の改修は、お客様に大きな負担となります。SSTでは、改修時のお問い合わせ対応や再診断も無償で実施し、対策完了までをフルサポートします。

主な診断項目

基本診断項目(サーバサイド診断)

区分 名称

認証

パスワードポリシー
不適切な認証
脆弱なパスワードリマインダ

承認

セッションの推測
不適切な承認
セッションの固定

クライアント側での攻撃

クロスサイトスクリプティング
コンテンツの詐称

コマンドの実行

バッファオーバーフロー
書式文字列攻撃
LDAPインジェクション
OSコマンドインジェクション
SQLインジェクション
SSIインジェクション
XPathインジェクション

情報公開

ディレクトリインデクシング
ソース記載による情報漏えい
パストラバーサル
推測可能なリソース位置

ロジックを狙った攻撃

機能の悪用
リダイレクタ
不適切なプロセスの検証

基本診断項目(クライアントサイド診断)

         
診断項目 診断内容 想定被害
apkファイルの解析

難読化確認

難読化実施状況を確認 アプリの不正改造

秘密情報の漏えい

秘密情報がapkファイルの解析により漏えいしないか確認 秘密情報の漏えい

知的財産の漏えい(画像)

解析により知的財産に関わる情報が漏えいしないか確認 知的財産の漏えいによる商品価値の低下、著作権の侵害など

不適切なファイルパーミッション

WORLD_READABLE/WRITABLEなファイル処理を検出 データの漏えい・不正操作

機能の不正利用

AndroidManifest.xmlで適切なpermission設定を確認 機能の不正利用・ロジック回避
生成されたファイル・外部データの解析

不適切なファイルパーミッション

WORLD_READABLE/WRITABLEなファイルから重要情報が漏えいしないか確認 データの漏えい・不正操作

重要情報の不適切な保存

SharedPreference/File/Databaseなどから重要情報が漏えいしないか確認 データの漏えい・不正操作

オプション診断項目(クライアントサイド診断)

診断項目 診断内容

各機能の悪用可能性調査

機能の不正呼び出しに対する挙動調査

動作ログデータ調査

動作中に出力されるログデータの内容調査

ご契約から診断終了まで

診断の進め方

サービス料金

サービス項目 価格 詳細
基本料金 98万円 サーバサイド診断(10API)、クライアントサイド診断(基本診断項目)、報告書作成を含みます。
追加API診断 4万5,000円 10APIを超える場合、1APIあたりの診断料金となります。
報告会 10万円 報告会を1回開催する場合の料金となります。
再診断 無償サービス 危険度Medium以上の脆弱性が対象で、1案件につき1回を無償でご提供いたします。
オプション診断 個別お見積り クライアントサイド診断(オプション診断項目)の診断料金についてはアプリケーションを事前調査した上での見積もりとなります。

※価格は税抜き表示になります。別途消費税が加算されますのでご了承ください。
※上記料金は弊社からリモートで診断を行う場合となります。オンサイトでの診断および再診断につきましては別途ご相談ください。



Androidアプリケーション診断サービスに関するお問い合せはこちらまで