SaAT アプリ診断 | スマートフォンアプリの脆弱性診断サービス SaAT

スマートフォンアプリの脆弱性診断サービス

モバイルサービスの安全な運用をサポート

スマートフォンアプリの
脆弱性診断・対策支援サービス

「SaAT（サート）アプリ診断」は、スマートフォンアプリのセキュリティリスクを解析し、対応に至るまでフォローするサービスです。

iOS
Android
Web API

SaAT アプリ診断とは？

SaAT アプリ診断は、iOS/Androidアプリの脆弱性診断サービスです。
スマートフォンが普及し、アプリ開発の難易度も下がることで、多くのモバイルサービスが提供されるようになりました。一方で、脆弱性を抱えたアプリは増加傾向にあり、情報漏えいなどのリスクが問題となっています。
SaAT アプリ診断ではアプリの脆弱性を調査することで、モバイルサービスの安全な運用と、持続的なセキュリティ対策をサポートします。

スマホで金融サービスを提供するが、ハッキングへの対策は充分か？

いま配信しているアプリは個人情報を扱っているが、情報漏えいが心配…

有料コンテンツが外部に流出したら大損害。しっかり守れているのか？

アプリのリスクに関する悩みを SaATアプリ診断が解決します！

脆弱性診断の特長

金融機関を中心に導入されたセキュリティソリューションの知見から、豊富な調査・診断ノウハウを蓄積。OWASP _(※1) のMobile Top10とJSSEC _(※2) のモバイルアプリセキュリティガイドに基づき、スマートフォンアプリのセキュリティリスクを広範囲かつ効果的に診断します。さらに、アプリが参照するWebサービス（APIサーバ）も診断対象とすることで、アプリが提供するモバイルサービス全体のセキュリティ性を評価できます。

(※1)　OWASP（Open Web Application Security Project）：ウェブアプリケーションのセキュリティ向上を目的とするコミュニティ
(※2)　JSSEC：日本スマートフォンセキュリティ協会

攻撃者視点の診断を実施しリスクの程度も把握可能

診断項目から認められた脆弱性に対し、攻撃者視点でスペシャリストが診断。攻撃の成立度合いから、リスクの程度も判定します。ペネトレーションテスト（オプション）にも対応しています。

サンプルコードの提供で対策の実施を容易に

診断結果の報告では、攻撃手法と対策の双方をサンプルコードで提示します。診断の目的であるセキュリティ対策を、アプリ開発者が容易に実施できるよう支援します。

対応状況もフォローして着実なセキュリティ対策へ

SaAT アプリ診断では、脆弱性への対応状況を再診断します。診断報告後もフォローアップを行うことで、診断対象となったアプリのセキュリティ性向上に貢献します。

診断項目

Android診断項目

App パッケージ	ソースコードの難読化 Manifest ファイルの適切な権限設定ソースコード上の重要情報露出の確認
App ディレクトリ（Sandbox）	アプリが生成するファイル上の重要データ露出の確認 DBファイル上の重要データ露出の確認
App 実行（プロセスメモリ・ネットワーク使用）	平文通信内の重要データ転送可否の確認 Hacking Phone(Rooting) 検知実装の確認 App 改ざん検証機能の実装の確認メモリ上の重要データの露出の最小化設計の確認ログ出力内容の確認有料コンテンツの盗用可能性の確認 Intent 強制呼び出し対策実装の確認画面 Captureの対策実装の確認

iOS診断項目

App ヘッダー情報	Position Independent Executable (PIE) 適用可否の確認 Stack Smashing Protection (SSP)適用可否の確認 Automatic Reference Counting (ARC)適用可否の確認
App ディレクトリ（Sandbox）	ソースコード上の重要情報露出の確認アプリが生成するファイル上の重要データ露出の確認 DBファイル上の重要データ露出の確認アプリスナップショット保存防止機能の実装の確認
App 改ざん	Anti-Patch 適用可否の確認デバッガー検知機能の実装の確認
App 実行（プロセスメモリ・ネットワーク使用）	平文通信内の重要データ転送可否の確認 Hacking Phone(Rooting) 検知実装の確認メモリ上の重要データの露出の最小化設計の確認ログ出力内容の確認ランタイム（プロセス流れ）操作可能性の点検

Webサービス（APIサーバ）診断項目

情報の露出	不要ファイル・I/F・ページの露出の確認不適切なログイン結果メッセージの確認アプリのコメント中の重要情報露出の確認サーバエラーメッセージ露出の確認デフォルトページ露出の確認サーバ情報（OS、バージョンなど）露出の確認
重要情報の露出	平文通信内の重要情報の確認平文通信内の主要情報(クライアントが類推できるデータ)確認 hidden パラメータ改ざん脆弱性の確認意図していないファイルのダウンロード脆弱性の確認サーバ上のディレクトリリスティング露出脆弱性の確認
脆弱な認証・権限確認	ソースコード露出の確認推測可能なID/Password作成ルール脆弱性の確認 Brute-Force攻撃の対応設計の実装の確認 Cookie認証脆弱性の確認 2重ログイン脆弱性の確認認証迂回脆弱性の確認 Cross-Site-Script 脆弱性の確認 CSRF脆弱性の確認サービス管理用ページ露出・アクセスの確認
リモートコード実行脆弱性	Command Injection 脆弱性の確認 SQL Injection脆弱性の確認 Remote File Inclusion脆弱性の確認意図してないファイルアップロードの脆弱性の確認
その他	意図していない Redirect/Forward 脆弱性の確認