Layer8 Trident
Web・APIの安全性を毎月検証します。
Layer8 Tridentは、WebアプリケーションとAPIを対象に、月1回の診断と修正確認を行うペネトレーションテストサービスです。自社開発のAIエージェントが探索と攻撃検証を行い、Layer8のエンジニアが結果を確認したうえで報告します。
- 診断対象
- Webアプリケーション・API
- 実施頻度
- 月1回＋修正確認1回
- 納品物
- 診断報告書
技術実績
Tridentの検証実績
Tridentを含む自社開発AIによる脆弱性の発見数と、HackerOne上の公開プログラムでの報告実績です。
採択・受賞実績
Tridentの開発は、以下の公的プログラムで採択・表彰されています。
実施形態
スポット診断と月次診断
まず1回のスポット診断を実施し、必要に応じて月次診断へ移行できます。どちらの診断にも、診断報告書の納品と指摘事項の修正確認1回が含まれます。
1回
スポット診断
リリース前など、必要なタイミングで合意した範囲を診断します。結果を確認したうえで、月次診断へ移行するかを判断できます。
- 実施回数
- 1回
- 診断範囲
- 着手前に合意した範囲
- 適するケース
- リリース前の確認、個別のリスク調査
継続
月次診断
前回以降の変更点を確認し、追加・変更された機能、API、権限設定を当月の診断範囲に反映します。
- 実施回数
- 月1回
- 診断範囲
- リリース内容に合わせて毎月見直し
- 適するケース
- WebアプリケーションやAPIを継続的に開発している
診断報告書
修正に必要な情報をまとめた診断報告書
攻撃が成立することを確認した脆弱性について、再現手順、HTTP通信、想定される影響、修正方法を記載します。経営層向けの概要と開発者向けの技術情報をまとめて納品します。
サンプル報告書は、ダウンロードページのフォームからお申し込みいただけます。
報告書に含む内容
- 脆弱性の深刻度と想定される影響
- 再現手順と該当するHTTP通信
- 原因と具体的な修正方法
- 修正後の確認結果
診断の流れ
AIエージェントによる検証とエンジニアによる確認
診断対象の把握から報告書の納品まで、次の手順で進めます。
- AIエージェント
診断対象の把握
対象URL、パラメータ、認証状態を調べ、合意した範囲で利用できる機能を把握します。
- AIエージェント
攻撃の検証
脆弱性が疑われる挙動に対して、実際に攻撃が成立するかを検証します。確認できた結果を次の工程に進めます。
- Layer8エンジニア
再現と影響評価
記録したHTTP通信と再現手順を確認し、脆弱性の影響範囲と深刻度を判断します。
- Layer8エンジニア
報告と修正確認
報告書を納品した後、指摘した項目の修正確認を1回行います。
安全管理
対象範囲と停止条件を事前に合意
安全に診断を行うため、対象範囲、実施時間帯、禁止する操作、緊急連絡先を事前に確認します。合意した内容は書面にまとめ、診断中の通信と実行状況を記録します。
- スコープ制御
- 対象URL、テスト用アカウント、対象機能を設定し、合意した範囲の外へアクセスしないよう通信先を制限します。
- 負荷の管理
- 対象環境に合わせて、リクエスト頻度、並列数、実施時間帯を設定します。
- ログと停止手順
- 通信ログと実行ログを記録し、異常が発生した場合の停止手順と連絡先を診断前に決めます。
- 実施環境
- 原則として検証環境またはステージング環境で実施します。本番環境での実施は、影響を確認したうえで個別に判断します。
提供条件
対象範囲・料金・開始までの流れ
対象となるWebアプリケーションやAPIの規模、認証方法、希望時期を確認し、診断範囲と見積もりをご案内します。
- 診断対象
- Webアプリケーション／API
- 診断方式
- ブラックボックス／グレーボックス
- 標準提供
- 診断報告書／修正確認1回
- 料金
- 個別見積もり（規模・認証方法・診断範囲に応じて算出）
ご相談から診断まで
-
ご相談
対象システム、確認したいリスク、希望時期を伺います。
-
実施内容のご案内
診断範囲、実施環境、開始時期、見積もりをご案内します。
-
診断・報告・修正確認
合意した条件で診断を行い、報告書の納品後に指摘事項の修正確認を1回行います。
実施体制
Layer8が開発・診断・報告を一貫して担当
Tridentの開発から診断結果の確認、報告書の作成までLayer8が行います。診断業務を外部へ再委託することはありません。
FAQ
よくあるご質問
サービス内容と実施条件について、よくいただく質問をまとめています。
自動スキャナとの違いは何ですか？
自動スキャナは、既知のパターンを広く効率的に確認するためのツールです。Tridentでは、合意した範囲内で対象を実際に操作し、攻撃が成立するかまで検証します。検証結果はLayer8のエンジニアが確認したうえで報告します。
AIだけで診断するのですか？
いいえ。AIエージェントが探索と検証を行い、Layer8のセキュリティエンジニアが結果を再現・確認します。確認できた項目だけを報告書に記載します。
本番環境でも診断できますか？
対応可能です。ただし、対象範囲、実施条件、システムへの影響を確認したうえで個別に判断します。原則として検証環境またはステージング環境で実施します。
診断によってサービスが停止することはありますか？
ペネトレーションテストの性質上、システムへの影響を完全に否定することはできません。そのため、リクエスト頻度、並列数、実施時間帯、禁止する操作を診断ごとに設定します。異常が発生した場合の停止手順と連絡先も、診断前に決めます。
スポット診断だけでも依頼できますか？
できます。1回の診断と修正確認を実施したあと、月次診断へ移行するかを判断できます。
標準の提供範囲には何が含まれますか？
月1回の診断と、その診断で指摘した項目の修正確認1回です。追加の診断は、対象範囲と実施時期を確認したうえで個別に対応します。
開始時期と料金はどのように決まりますか？
対象環境、診断範囲、実施条件を確認したうえで個別にご案内します。初回のオンライン面談で対象を確認し、その後に開始時期と見積もりをご案内します。
お問い合わせ
診断範囲と概算費用をご案内します
対象システム、確認したいリスク、希望時期をお知らせください。内容を確認し、診断方法、対象範囲、開始時期の目安をご案内します。
対象や実施時期が決まっていない段階でもご相談いただけます。