Web脆弱性診断の見積もり、金額の前に範囲を比べる

「1サイト」に顧客用管理画面も入る？

会社サイト、顧客ポータル、APIが別々のホスト名にある場合を考えます。見積もりに会社サイトだけが書かれていても、残りが含まれるとは限りません。これは購入時の仮例で、顧客事例ではありません。実際のURLを送り、含まれる対象を文書で確認します。

アカウントを使うかも確認してください。未ログインのページ確認と、二つの顧客権限を比較する作業ではアクセスも内容も異なります。「Webセキュリティ」という名称だけでは判断できません。他人の注文が見えることを心配しているなら、公開ページだけの確認では答えが出ません。

開発者に渡せる報告か

支払い前に機密情報を除いた報告書見本を見ます。問題の場所、発生条件、秘密を伏せた証拠、想定される影響、修正案があるか確認します。条件のない画面画像では再現できないことがあります。スキャナーの警告が大量にあっても、真偽の判断が開発者に残る場合があります。

未検査項目、不確かな結果の表記、人による証拠確認も尋ねます。ページ数や検出数では代用できません。問題が見つからなくても、合意範囲の結果と制限は報告すべきで、システム全体の安全認証にはなりません。

MingxiのUS$120で確認する範囲

標準チェックは合意した一つの公開サイトまたはAPIを未ログインで確認します。サブドメイン、別アプリ、追加資産は自動的には含まれません。合意した公開範囲、基本設定、検証可能な一般的リスクを扱い、技術者が証拠、深刻度、修正案を確認します。ソース監査、ログイン後の機能、複数のアカウント権限、業務ロジックのテストは対象外です。

合意した言語のPDFをメールで送付します。2営業日の納期は所有権、許可、範囲、必要資料、支払いの確認後に始まります。再診断は標準料金に含まれず、範囲と料金を別途確認します。注文前に現在のサービス範囲をお読みください。

合意内容を報告書と保管する

対象、対象外、成果物、開始条件、報告書の受取人を残します。キャンセルや日程変更は提供者との実際の合意を記録し、記載がない条件を推測で補わないでください。

修正後は配備版と対応する指摘番号を保存します。別途再診断する場合は、どの証拠が得られるか尋ねます。トップページの再スキャンが正常でも、別の問題のあったエンドポイントが直った証拠にはなりません。

実行チェックリスト

• URLを送り、対象外を確認する。
• アカウント利用の有無を確認する。
• 報告書見本と納期の開始条件を読む。
• 支払い前に再診断とキャンセル条件を記録する。

よくある質問

安価なチェックは価値が低いのでしょうか？

必ずしもそうではありません。範囲を限定した確認は小さな公開サイトに適する場合があります。知りたいリスクに答えられるかを比較してください。アカウント、ソース、業務ロジックが必要な評価の代わりにはなりません。