アイティーエム、SPA診断とWebペネトレーションテストを提供開始

　アイティーエムは、「SPA診断とWebペネトレーションテスト」の提供を7月24日に開始した。同社は、Managed Cloud & Security Service Provider（MCSSP）事業の一環として、アプリケーション・セキュリティ対策に取り組んでおり、本サービスはその第一弾となる。

　「SPA診断」では、OWASP Testing Guideをベースにした診断項目に加え、SPA固有のテクニカルリスクを、ペネトレーションテスターがフロントエンドとバックエンドの両方で診断する。SPA固有のリスクポイントとして、クライアントサイドの脆弱性、認証とセッション管理、クロスサイトリクエストフォージェリ（CSRF）、クライアントサイドのデータ保護がある。

　「Webペネトレーションテスト」は、Webアプリケーションをターゲットとしたペネトレーションテスト。Webアプリケーション診断では非対応となる、WebSocketやRTSPのような非httpプロトコルにも対応する。DEFCON、CODE BLUEなどの企業と協業で提供し、NIST SP800-115に基づく実施プロセスと、実際にハッカーが用いる攻撃手法を用いた実用的なテストになっている。

　セキュリティ診断では、従来のリスクの可視化（脆弱性診断）から、より実戦的な攻撃手法を用い、どのような脅威が潜んでいるのかを調査するペネトレーションテストの手法が注目されている。特に重要な機密情報を保有するシステムにおいては、高度化するセキュリティ脅威に対し、より実戦的なセキュリティ対策の強化が求められている。