クラウドソース・ペネトレーションテスト（Synack）

重大な被害に繋がる問題がWebサービスにないかを知りたい

個人情報漏えいなどの特定の課題にフォーカスした検査をしたい

従来の脆弱性検査とは異なる別のアプローチで検査をしたい

サイバー攻撃者の視点で実際の攻撃のような検査をしてほしい

単発の検査ではなく年間の中で
継続して検査を実施したい

重大な被害に繋がる問題が
スマホアプリにないかを知りたい

見つかった脆弱性の修正方法を
わかりやすく教えてほしい

脆弱性の対応が終わったら
すぐに再検査したい

どのように優先順位づけをして
脆弱性対応したらいいか知りたい

自社のサービスが
どの程度安全かを知りたい

他社と比較して自社の対策状況が十分かどうかを知りたい

Synackでは重大な被害につながる脆弱性を発見したハッカーに報奨金を支払う「バグバウンティ方式」を活用しているため、 SRT（Synack Red Team）は攻撃者視点でインパクトの大きな脆弱性がありそうな箇所に注力して検査を行います。

一つのプロジェクトにおいて、40～60人のSRTメンバーがインパクトの大きな脆弱性がありそうな箇所に注力して検査を実施するため、他の脆弱性検査サービスでは検出しづらい脆弱性が検出される可能性が高くなります。

「Synack 365」サービスでは、マルチプラグインスキャナを用いた検査ツール「Hydra」によるツール検査および厳しい審査を通過したエシカルハッカーであるSRT（Synack Red Team）による継続的な手動検査を24時間365日提供します。

一つのプロジェクトで検査を担当するSRT（Synack Red Team）のチームは約45日周期で交代を行い、常に新しい観点から検査を実施します。

Synack社独自の計算方法で算出した攻撃耐性スコア「ARS(Attack Resistance Score)」を毎日提供します。 ARSは脆弱性の検出状況や検出された脆弱性の改修状況により常に変化します。

SRTによる手動検査を年間を通して24時間365日提供

検査結果から算出される攻撃耐性スコア「ARS」

Synack社による厳しい審査を通過したエシカルハッカーであるSRT（Synack Red Team）がサイバー攻撃者を模倣し、さまざまな攻撃ツールや最新の攻撃手法を駆使して検査を実施します。

SRTは多様なバックグラウンドを持ち、それぞれの知見に基づく方法で検査を実施します。

SRTによる疑似攻撃は全てSynack社が所有する検査ゲートウェイ「Launch Point」を通過することにより、制御・可視化されるため、本物の攻撃との区別が可能です。

厳しい審査を通過したエシカルハッカーのみが検査に参加

検査ゲートウェイ「Launch Point」による制御・可視化

検査前にお客様にヒアリングを行い、各組織で想定している脅威（情報漏えい、不正アクセスなど）がある場合は、その脅威につながる問題に注力した検査を実施します。

コンプライアンスチェックリストである「Missions」に基づく検査について、お客様のご要望に応じて検査項目を追加した「カスタムミッションリスト」に基づく検査を実施可能です。

※追加可能な検査項目については弊社までご相談ください。

想定される脅威の例

スキル審査だけにとどまらず、面接や身元・身辺調査などのSynack社による厳しい審査を通過したエシカルハッカーであるSRT（Synack Red Team）のみが検査に参加します。

従来の脆弱性検査と比較して多くの人数・時間を費やして検査を行う、世界中のエシカルハッカーの「集合知」を活用したサービスです。

一つのプロジェクトにおいて数十人のエシカルハッカーが密度の濃い検査を実施するため、他の脆弱性検査サービスでは検出しにくい脆弱性が検出される可能性が高くなります。

脆弱性検査をクラウドソーシングするテスト方式であるクラウドソーシング・セキュリティテストは、群衆（＝クラウド）の集合知を活用した新しい脆弱性検査の形態です。多くの参加者が参加するため、多様な閃きや経験に基づく観点を活用できるという特徴があります。

クラウドソーシング・セキュリティテストでは、検査を行うエシカルハッカーの募集のためにバグバウンティの仕組みを活用しています。脆弱性を見つけた技術者にのみ報奨金が支払われるため、脆弱性を見つけることに対するハッカーのモチベーションが高いことも特徴です。

検査で検出した脆弱性の情報はお客様向けWebポータル上にて提供します。検出した脆弱性についてキャプチャや動画にて再現手順を詳細に解説します。

脆弱性の情報は、検出されたものからWebポータル上で随時報告されます。お客様は、検査終了を待たずに検出された全ての脆弱性の情報を確認いただくことが可能です。

Webポータル上の情報について不明な点がある場合は、レッドチーム・テクノロジーズのコンサルタントがサポートを行います。

検出された脆弱性は、お客様向けWebポータルにて再現方法とともに報告されます。

影響の大きな脆弱性については都度、レッドチーム・テクノロジーズより詳細レポート（日本語）を提供します。

Webポータル上の情報について不明な点がある場合は、ポータル上から脆弱性を発見したSRT（Synack Red Team）メンバーに直接質問が可能なほか、必要に応じてレッドチーム・テクノロジーズのコンサルタントがサポートを行います。

脆弱性の再現方法をポータルで説明

脆弱性の修正方法を解説

検出された脆弱性に対する再検査は契約期間中に随時実施可能です。ポータル上のボタンから再検査依頼が可能です。

サービス費用に再検査費用も含まれているため、再検査を実施するための追加費用は不要です。再検査期間内であれば、修正した脆弱性の再検査は何度でも実施可能です。

再検査のリクエストは、脆弱性を発見したSRT（Synack Red Team）メンバーに直接送信されます。リクエストを受け取ったSRTメンバーは再検査を実施して脆弱性が修正されたかどうかを確認します。

再検査依頼はポータル上のボタンから可能

Synack社による厳しい審査を通過したエシカルハッカーであるSRT（Synack Red Team） が検出した脆弱性はCVSS（共通脆弱性評価システム）を用いて評価した影響度と合わせて報告されます。

SRTによる検査結果は、Synack社の運用チームである「Mission Ops.」にて検証、再現、優先順位付けがされ、無効な検査結果や検査結果の重複は排除された上で顧客に報告されます。

各脆弱性の対応ステータスの管理がお客様向けWebポータル上で可能です。

Synackによる影響度の評価

Synack社独自の計算方法で算出した攻撃耐性スコア「ARS(Attach Resistance Score)」をお客様向けWebポータルにて提供します。

ARSは検出された脆弱性の検出までの時間や難易度、システムへの影響度、修正までの時間などが計算の要素に取り込まれ、それらから算出したスコアはSynack社で検査を実施した他顧客システムとの比較が可能です。

Synack365サービスで提供されるARSスコア年間を通して毎日更新されます。よって、脆弱性の検出状況や検出された脆弱性の改修状況により常に変化します。

検査結果から算出される攻撃耐性スコア「ARS」

検出した脆弱性の報告においては、脆弱性を発見するのに要した時間も報告されます。

Synack社独自の計算方法で算出した攻撃耐性スコア「ARS(Attach Resistance Score)」をお客様向けWebポータルにて提供します。

ARSは検出された脆弱性の検出までの労力や難易度、システムへの影響度、修正までの時間などが計算の要素に取り込まれ、それらから算出したスコアはSynack社で検査を実施した他顧客システムとの比較が可能です。

検査結果から算出される攻撃耐性スコア「ARS」