CASA Tier 2（クラウド アプリケーション セキュリティ評価）は、開発者が自身のアプリケーションを柔軟にスキャンし、その結果を他の証拠とともに認定アセッサーに提供できるプログラムです。このプロセスにより、アセッサーがアプリケーションのコードやインフラストラクチャに直接アクセスすることなく、検証を達成し、検証書（Letter of Validation, LOV）を取得することが可能になります。 CASA Tier...
Read More
エルフコアは包括的なリスク評価を専門としており、モバイルアプリケーションのセキュリティ状況を徹底的にテストします。iOSおよびAndroidプラットフォームに精通した業界をリードする研究者およびセキュリティエンジニアからなる私たちのチームは、深いテストを実施します。これには、デバイス上のローカルなセキュリティ問題の徹底的な調査、バックエンドのウェブサービスの精査、およびそれらを結び付けるAPIの解剖が含まれます。エルフコアと共に、モバイルアプリの防衛を新たな高みへと引き上げ、潜在的な脆弱性を洞察し、組織が機密データを積極的に保護する力をつけましょう。動的なモバイルランドスケープの進化する脅威に対して、あなたのモバイルアプリのセキュリティを強化をおすすめします。
OSおよびAndroidプラットフォームにおける包括的なサポート 私たちはiOSとAndroidのペネトレーションテストにおいて深い専門知識を有しており、各モバイルアーキテクチャに固有のセキュリティ上の課題を深く理解しています。この専門性により、iOSアプリのリバースエンジニアリングやAndroidアプリケーションを狙うマルウェアの脅威に対処するなど、特定の懸念事項に対処するためのアセスメントをカスタマイズすることができます。
私たちが行うすべてのモバイルセキュリティ評価には、複数の攻撃ベクトルとリスクのシミュレーションが含まれています。これには、安全でないストレージの評価、盗まれたデバイスのリスク評価、モバイルマルウェアの脅威の精査、認証されたユーザーおよび認証されていないアプリユーザーのセキュリティテストが含まれます。もしアプリが社内のモバイルデバイスでホストされている場合、企業環境を再現するカスタマイズされたシナリオでカバーします。
静的分析と動的分析の両方を統合し、セキュリティ専門家はアプリの休止状態と実行時の両方でテストを行い、あらゆる脆弱性を特定します。この徹底的な方法論は、クレデンシャルの安全でないストレージ、Androidバックアップを含む機密アプリデータなど、主要な脆弱性にも焦点を当てています。私たちのiOS/Android専門家はアプリ自体を逆コンパイルまたはリバースエンジニアリングすることができますが、アプリケーションの完全なソースコードレビューを通じてさらに多くの脆弱性を特定することができます。ペネトレーションテスト中にアプリのソースコードをレビューすることで、深く埋もれた脆弱性も特定し、軽減することができます。
標準およびジェイルブレイクされたデバイスのテスト 私たちのモバイルセキュリティ評価は、ジェイルブレイクされたiOSおよびルート化されたAndroidデバイスを含む、複数の攻撃ベクトルと脅威を考慮しています。両オプションの脆弱性を比較することで、献身的な攻撃者から一般ユーザーまで、複数のユーザータイプからのセキュリティリスクを示すことができます。
ドキュメンテーションと報告は、モバイルアプリのペネトレーションテストの成功の鍵です。私たちは、経営陣とアプリ開発者の両方のニーズに応えるために、エグゼクティブサマリーと技術的詳細の両方を組み込んでいます。具体的には、この詳細なペネトレーションテストの報告は以下のように分類されます。
要約リスクおよびアプリの強み/弱み/リスク優先の脆弱性と説明/脆弱なコードセクション（ソースコードレビューが統合されている場合）/攻撃ウォークスルー（スクリーンショットを含む）/修復および防御の推奨事項
Web アプリケーションの評価を行う前に、ElvesCoreでクライアントの明確な範囲を定義します。この段階では、評価のための快適な基盤を確立するために、ElvesCore とクライアント組織の間のオープンなコミュニケーションが推奨されます。
ElvesCoreエンジニアは、無数の OSINT (Open Source Intelligence) とOWASP Top 10ツールとテクニックを使用して、ターゲットに関する可能な限り多くの情報を収集します。収集されたデータは組織の運営状況を理解するのに役立ち、取り組みの進行に応じてリスクを正確に評価できるようになります。対象となるインテリジェンスには次のものが含まれる場合があります
この段階では、より高度な情報収集のための戦術の中でも、自動化されたスクリプトとツールを組み込みます。 ElvesCore のエンジニアは、考えられる攻撃ベクトルを綿密に調査します。この段階で収集された情報は、次の段階での活用の基礎となります。
慎重に検討した上で、Web アプリ内で見つかった脆弱性への攻撃を開始します。これは、発見された攻撃ベクトルの存在を確認しながら、アプリケーションとそのデータを保護するために慎重に行われます。この段階では、次のような攻撃が実行される可能性があります。
レポートは評価プロセスの最終段階です。 ElvesCore アナリストは、取得したすべての情報を集約し、調査結果の徹底的かつ包括的な詳細をクライアントに提供します。このレポートは、全体的なリスクの大まかな内訳から始まり、アプリケーションの保護システムとロジックの長所と短所の両方を強調しています。また、ビジネス リーダーがアプリケーションに関して十分な情報に基づいた意思決定を行えるよう支援する戦略的な推奨事項も含まれています。レポートではさらに、テスト プロセスや IT チームの修復手順など、各脆弱性を技術的に詳細に分析して、修復プロセスを簡素化しています。私たちは、各レポートが明示的であり、操作が簡単であることを保証するために多大な努力を払っています。
レポートは評価プロセスの最終段階です。 ElvesCore アナリストは、取得したすべての情報を集約し、調査結果の徹底的かつ包括的な詳細をクライアントに提供します。このレポートは、全体的なリスクの大まかな内訳から始まり、アプリケーションの保護システムとロジックの長所と短所の両方を強調しています。また、ビジネス リーダーがアプリケーションに関して十分な情報に基づいた意思決定を行えるよう支援する戦略的な推奨事項も含まれています。レポートではさらに、テスト プロセスや IT チームの修復手順など、各脆弱性を技術的に詳細に分析して、修復プロセスを簡素化しています。私たちは、各レポートが明示的であり、操作が簡単であることを保証するために多大な努力を払っています。
さらに、クライアントの要求に応じて、クライアント組織が脆弱性にパッチを適用した後に Elves Core が評価をレビューする場合があります。変更が適切に実装され、リスクが排除されたことを確認します。以前の評価は、アプリケーションのより安全な状態を反映するために更新されます。
モバイルペネトレーションテストに関するブログや記事を公開しています。
CASA Tier 2（クラウド アプリケーション セキュリティ評価）は、開発者が自身のアプリケーションを柔軟にスキャンし、その結果を他の証拠とともに認定アセッサーに提供できるプログラムです。このプロセスにより、アセッサーがアプリケーションのコードやインフラストラクチャに直接アクセスすることなく、検証を達成し、検証書（Letter of Validation, LOV）を取得することが可能になります。 CASA Tier...
Read More
1. はじめに 現代のビジネス環境では、サイバー攻撃のリスクがますます増えています。特にインターネットを介して行われるビジネス取引が増えているため、企業のデータや情報がサイバー攻撃のターゲットになる可能性が高まっています。しかし、多くの日本の経営者、特に年配の方々は、サイバーセキュリティやペネトレーションテスト（侵入テスト）の重要性を十分に理解していないかもしれません。本ブログでは、サイバーセキュリティの基本的な考え方と、企業がサイバー攻撃から自らを守るために行うべき具体的な対策について、簡単に解説します。
Read More
Google Apps Script のための CASA ティア2セキュリティ評価の完了ガイド Google Apps Script プロジェクトを...
Read More
サイバーセキュリティアーキテクチャの基礎に関する前回のビデオでは、重要なセキュリティ原則とCIAトライアドについて議論しました。今回は、サイバーセキュリティアーキテクトの役割、考え方、ツール、操作するドメインに焦点を当てます。 サイバーセキュリティアーキテクトの役割と考え方 旅は、必要な入力を提供する利害関係者から始まります。アーキテクトはこれらの入力に基づいて青写真（または参照アーキテクチャ）を作成し、安全性とセキュリティの側面を考慮します。建設では、アーキテクトはロック、セキュリティカメラ、煙探知器、ファイアウォールを計画します。ITでは、MFA、MDM、ファイアウォールなどの対策を使用してシステムを設計します。 サイバーセキュリティアーキテクトは、システムがどのように失敗するかを考慮する点で通常のITアーキテクトとは異なります。彼らは、システムが失敗する可能性を考慮し、リスクに対する緩和策を実装します。これには、MFA、エンドポイント検出および応答（EDR）、データ暗号化の使用が含まれます。 ツール サイバーセキュリティアーキテクトは、システムコンポーネントとその関係を示すために、ビジネスコンテキスト図、システムコンテキスト図、アーキテクチャ概要図などのさまざまな図を使用します。彼らは、NISTサイバーセキュリティフレームワークなどのフレームワークを使用して、セキュリティの側面を包括的にカバーします。このフレームワークは、ユーザーとデータの特定、保護、問題の検出、応答、回復などの段階を詳述します。 ベストプラクティスと一般的なプラクティス 一般的なプラクティスでは、アーキテクチャが完成した後にサイバーセキュリティアーキテクトを呼び出しますが、ベストプラクティスは、最初から彼らを関与させることです。これにより、プロジェクトライフサイクルのすべてのステップでセキュリティを統合できます。 サイバーセキュリティドメイン サイバーセキュリティアーキテクトは、以下のさまざまなドメインで操作します：...
Read MoreCopyright © 2024 Elves Core (Pvt)Ltd. All Rights Reserved.