脆弱性

多くのWebセキュリティスキャナには、脆弱性の誤検出が発生する傾向があります。つまり、Webサイトに脆弱性がないにもかかわらず、脆弱性があると表示してしまうのです。
ありもしない脆弱性への対策ほど無駄なものはありません。Invictiは脆弱性の存在を証明し、限られたリソースを無駄なくセキュリティの強化につなげます。

Invictiは、SQLインジェクションやクロスサイトスクリプティング（XSS）などの最も一般的な脆弱性の複数のケースを含む、あらゆるタイプのWebアプリケーションの脆弱性を特定します。
そして、Proof-Based Scanningが自動的に脆弱性を検証することで脆弱性が誤検出ではないことを証明します。

Invictiでは、ITセキュリティに関する莫大な知識は必要ありません。
Invictiで発見された脆弱性には、詳細なレポートが添付され、セキュリティチームや開発者が問題を修正するだけでなく、脆弱性の原因を理解するのに役立ちます。詳細な情報を得ることで、開発する際に脆弱性につながる原因を回避することができ、将来的により安全な製品の開発につながります。

脆弱性の詳細
Invictiは発見した脆弱性を見つけたページとURL、脆弱性のあるパラーメータとタイプ、スキャン中に使用された攻撃パターンとペイロードを報告します。

難易度の高いセキュリティ脆弱性を調査したり、可視化したりする必要がある場合、必要なセキュリティツールがすべてInvictiには組み込まれています。セキュリティ専門家がスキャンと手動テストを最適化できるように、Invictiには以下のような多数の高度なWebセキュリティテストツールが搭載されています。

・HTTP Request Builder
・Encoding and Decoding Tools
・Retesting Individual Vulnerabilities

すべてのWeb Asset(Web資産)をスキャン

複雑で強大な企業ネットワークやサーバーの中には古い状態のまま忘れられたWebアプリケーションが存在します。サイバー攻撃にはそういった放置されたWeb資産がよく利用されます。
InvictiではすべてのWeb資産を検索、スキャン、保護する事ができます。

Invictiは登録するとすぐに、アプリケーションとサービスの検出を行います。組織が所有する、または組織に関連している可能性のあるWebサイトとWebアプリケーションの候補を表示します。これはスキャン前の重要なステップで、すべてのWeb資産を見つけ出し、どのような設定でスキャンするのかを決定するのに役立ちます。

発見後、Invictiは高度なクローリング技術を用いて各資産を分析し、サイバー攻撃に利用される可能性のあるエントリーポイントを特定します。専用のJavaScriptエンジンを搭載したInvictiは、Javascriptの出力を解析、実行、分析し、CSS(クライアントサイドスクリプト)に大きく依存する最新のHTML5、Web 2.0、シングルページアプリケーション(SPA)のクロールと解釈を成功させます。これには、JqueryやAngularJSなどの一般的なフレームワークを使用して動的に生成されたページコンテンツも含まれます。Invictiは、SOAPやREST APIの脆弱性も特定できます。

パスワードで保護されたWebサイトのスキャンは、多くの脆弱性スキャナーでは実行するのは困難です。Invictiは、パスワードで保護されたWebアプリケーションやWebサイトのセクションにアクセスしてスキャンできるよう、設定がかんたんな認証モジュールを提供します。認証情報は、ログインマクロを記録する必要なく設定できます。
Invictiは、Basic、Form-based、NTLM、Digest、Kerberos、Client Certificate、およびSmart Card認証をサポートしています。

統合・自動化

Webアプリケーションの規模がでかくなるほどセキュリティに必要なコストは高くなりますが、Invictiは精度を保ちつつ、Webアプリケーションの拡張性に対応できます。たとえ小規模なセキュリティチームでも、Invictiの統合機能と自動化機能を最大限に活用することで、Webアプリケーションをスキャン、検出、保護することができます。
InvictiはSDLC、DevOps、ステージング環境、本番環境に統合できクローズドな脆弱性調査環境を構築することができます。開発の初期段階から本番環境に至るまで、すべてのWebアプリケーションとWebサービスの脆弱性がスキャンされ脆弱性を排除します。

生産性を最大限に高めるためには、効率的な連携が不可欠です。組織やチームの規模が大きくなるに連れ、タスクや責任の割り当てが大きな課題となります。Invictiにチームメンバーを追加することで、メンバー間の連携が容易になり、コミュニケーションを自動化し、可視性を高め、チームがWebアプリケーションのセキュリティ向上に全力を注げるようになります。

スキャンと脆弱性評価の準備ができたら、脆弱性を優先度順にグルーピングして報告し、チームを作成して脆弱性の修正に取り掛かる必要があります。
ウェブアプリケーションの数が少ない場合は、この作業を手動で行うことができるかもしれません。しかし、何百、何千ものWebアプリケーションがある場合、すべて手動で行うのは現実的ではありません。Invictiには、スキャン後のプロセスを自動化し、Webアプリケーションが稼動する前にすべての脆弱性が報告され、修正されていることを確認するために必要なすべてのツールが用意されています。

Invictiには脆弱性管理システムが組み込まれており、特定された脆弱性を開発者に自動的に割り当て、修正までの作業を補助するように構成できます。独自の脆弱性管理ソリューションがすでにある場合、Invictiはそのシステムと統合し、同じ用に開発者に通知することができます。

Invictiは脆弱性修復アクティビティを監視するため、開発者がセキュリティ上の欠陥を修正すると、自動的に再テストを行います。脆弱性がまだ存在する場合、Invictiはセキュリティチームを介さず開発者に通知します。重大な問題が見つかった場合、またはタスクを割り当てられた場合、チームメンバーに通知を送信できます。通知オプションにはメールやSMS等の一般的なチケットシステムを利用できます。

もし、Webアプリケーションで発見された重要な脆弱性を数分で修正することができたら理想的でしょう。しかし、実際にはそれ以上の時間がかかり、その間もアプリケーションは攻撃を受けやすい状態にあります。Webアプリケーション・ファイアウォールは、脆弱性が修正されるまでの間、脆弱性をブロックするセキュリティ絆創膏のようなものです。Invictiは、主要なWebアプリケーション・ファイアウォール製品と統合することで、このプロセスを自動化し、すべての重要な脆弱性に迅速に対処することができます。

レポート

Webアプリケーション・セキュリティ・スキャンのレポートは非常に重要です。レポートによって、すべてのウェブ資産のセキュリティ状態の概要を把握し、セキュリティの詳細をチームと共有することができます。また、レポートは、開発者の生産性と能力を把握するのに役立ち、脆弱性を本番環境に持ち込まないようにすることができます。

Invictiソリューションにログインすると、お客様のアカウントで発生しているすべての出来事のサマリーが表示されます。スキャンが何回行われたか、Invictiが特定した脆弱性の数、未修正の脆弱性の数を確認できます。グラフはトレンドやその他のデータを表しており、すべてのWebアプリケーションとWebサービスのセキュリティ状態をすばやく把握することができます。

Invictiソリューションにログインすると、お客様のアカウントで発生しているすべての出来事のサマリーが表示されます。スキャンが何回行われたか、Invictiが特定した脆弱性の数、未修正の脆弱性の数を確認できます。グラフはトレンドやその他のデータを表しており、すべてのWebアプリケーションとWebサービスのセキュリティ状態をすばやく把握することができます。以下はその一例です。

• JavaScriptライブラリ
• ウェブ開発フレームワーク
• ウェブサーバ
• CMSデプロイメント
• プログラミング言語
• データベースサーバ

Webアプリケーションのセキュリティを向上させるだけでなく、すべてのWebテクノロジを検出することで、インフラストラクチャを管理し、管理コストを削減できます。明確なレポートにより、アップグレードが必要なコンポーネント、維持する必要があるが脆弱な機能を回避するために特別な注意が必要なコンポーネント、使用されなくなってシステムから削除できるコンポーネントを簡単に判断できます。

Invictiのプラン一覧

Invictiは顧客の様々なニーズに対応するため複数のプランを提供しています。

中小企業向けのシングルユーザーのWindowsアプリケーションです。
複雑な操作や設定を行わなくともWebサイトやWebアプリケーションの脆弱性を発見し、企業のセキュリティを支えます。
ITセキュリティの詳しい知識がなくとも利用でき、脆弱性の原因の箇所を発見するため簡単に修正することができます。

中規模から大規模な組織向けのクラウドベースのスキャナを提供するプランです。
信頼性、相互運用性、柔軟性、スケーラビリティを求めている場合に最適です。
Webセキュリティ体制を改善しながらリソース使用量を最小限に抑えることができます。

セキュリティチームや企業に最適なワークフローとレポートツールが組み込まれた、スケーラブルなマルチユーザーWebアプリケーションセキュリティを提供します。これは、ホスト型およびセルフホスト型のソリューションとして利用可能であり、あらゆる開発環境またはテスト環境に完全に結合できます。