Challenge
セキュリティ診断の課題
日々変化するシステムを、従来の診断だけで守り切れていますか？
年1回の診断では追いつけない
システムは日々変化します。年1回のスポット診断だけでは、改修や新機能で生まれた新しいリスクを見逃してしまいます。
専門家によるテストは費用が高い
熟練したセキュリティ技術者によるペネトレーションテストは工数に比例して高額になり、頻繁な実施が難しいのが実情です。
診断データを社外に出せない
機密性の高いシステムでは、診断で扱うデータを外部のベンダーへ渡すこと自体がリスクになります。
その課題を、AIペネトレーションテストが解消します。
Overview
サービス概要
お客様と合意した範囲で、AIが実際の攻撃手法を使って弱点を見つけ出します。
AIエージェントが攻撃者の視点で、偵察から攻撃検証・報告までを自律的に実行。人では試しきれない組み合わせまで、速く・漏れなく検証します。
AIが自律でテスト
偵察から脆弱性分析・攻撃検証まで、人の逐次指示なしで連続して実行します。
脆弱性情報を常時収集
CVE・CVSS・実際の悪用状況などの最新脅威情報をリアルタイムに取り込み、テストへ反映します。
選べる実行環境
完全ローカル（お客様環境内）か、クラウドGPU（Azure / GCP / AWS）かを選択できます。
CVSSで危険度を評価
検出した弱点はCVSSで危険度を評価し、再現手順と具体的な修正方法をレポートでお届けします。
Architecture
AIエージェントの仕組み
役割の異なる複数のAIが連携し、攻撃者のように自律的に動きます。
AIオーケストレーター
作戦立案（推論）→ 実行（生成）→ 解析のループで、各エージェントを自律的に統率します。
偵察エージェント
公開資産・攻撃面を洗い出し、侵入の足がかりを探索
攻撃エージェント
Nmap・Metasploit 等を自動選択し、侵入可否を実証
レポートエージェント
PoCを生成し、CVSS評価・修正方法をレポート化
スマートメモリ
過去の判断を記憶し、次の戦略に活用
最新脅威情報
CVE・CVSS・悪用状況をリアルタイム反映
セキュリティツール群
多数のツールをAIが自動で選択・実行
隔離サンドボックス
隔離環境で安全に攻撃を検証
How it works
テストの仕組み
合意した範囲の中だけで、AIが「偵察 → 分析 → 攻撃検証」をくり返します。
お客様
① 対象・期間・禁止操作を合意
リアルタイム脅威情報
CVE・CVSS・悪用状況を常時反映
AIエージェント｜自律実行
お客様
④ レポート受領（CVSS評価・修正方法）
実行基盤（どちらかを選択）
テスト対象
Merit
AIだからできること
人では試しきれない組み合わせを、速く・あらゆる角度から検証します。
網羅性
これまで：時間の制約で、試せる攻撃パターンが限られる
全方位｜攻撃手法 × 侵入経路 × 対象の組み合わせを、あらゆる角度から漏れなく検証します。
スピード
これまで：人が1つずつ試すため、結果が出るまで時間がかかる
並列実行｜多数のテストを同時に進め、短時間で結果を出します。
品質
これまで：担当者のスキルや経験で、結果がばらつく
全操作を記録｜毎回同じ手順・同じ品質で実行し、すべての操作を記録。再現・監査ができます。
頻度
これまで：年1回程度で、改修後の状態を確認できない
毎週｜継続診断プランなら、システム変更や新たな脆弱性によるリスクをすぐに見つけます。
人では試しきれない組み合わせまで、
速く・漏れなく・毎週検証します。
Kill Chain
攻撃の深さ
「検出」で終わらせず、実際に侵入できるかまでを実証します。
※ 「検出」で終わらず、攻撃者と同じように弱点を連鎖させて「実際に侵入できるか」まで検証します。影響の大きい操作は担当者の承認後にのみ実行します。
Comparison
従来手法との違い
専門家による検証の「深さ」と、ツールの「速さ・手軽さ」を両立します。
| 比較項目 | 手動ペネトレ専門家が実施 | 自動診断ツール脆弱性スキャナ | 最適本サービスAIペネトレ |
|---|---|---|---|
| 攻撃の実証本当に侵入できるか | 専門家が攻撃を実証 | 既知の弱点を検出のみ | AIが攻撃を試して実証 |
| 網羅性攻撃パターンの組み合わせ | 時間内で試せる範囲 | 定型パターンのみ | あらゆる角度から多数を検証 |
| スピード | 人が1つずつ実施 | 高速 | 並列実行で高速 |
| 費用 | 専門家の工数に比例 | 比較的安価 | 20万円〜（税抜） |
| 実施頻度 | 年1回程度 | 随時 | 毎週（継続診断） |
| 最新の脆弱性情報CVE・CVSS | 担当者の知識に依存 | シグネチャ更新時に反映 | リアルタイムに収集・反映 |
| 品質の安定 | 担当者のスキルに依存 | 安定 | 同じ手順＋全操作を記録 |
| レポート | 再現手順・修正方法 | 検出結果の一覧 | CVSS評価＋修正方法 |
| データの扱い | 診断会社の環境 | 製品により異なる | 完全ローカルも選択可 |
※ 一般的な傾向を示したものです。個別の製品・サービスにより異なります。
Scope
診断・テストの対象
Webアプリから社内ネットワーク・クラウド設定まで、幅広くテストできます。
Webアプリケーション
ログイン画面や入力フォームなど、公開しているWebサービス
主なチェック内容
- 認証・セッション管理
- 入力値の検証不備
- 権限昇格
API
スマホアプリや外部連携で使う公開API・社内API
主なチェック内容
- 認可・アクセス制御
- パラメータの改ざん
- 過剰なデータ返却
社内ネットワーク
社内の端末・サーバー・VPN機器などのネットワーク
主なチェック内容
- 公開ポート・サービス
- 既知の脆弱性の悪用
- 内部での横展開
クラウド設定
Azure・Google Cloud・AWSのアカウント設定
主なチェック内容
- 公開範囲の設定
- IAM・権限の付与
- 鍵・シークレット管理
テスト前に対象のドメイン・IPアドレス・期間をお客様と合意し、範囲外のシステムにはアクセスしません。
Process
導入ステップ
お問い合わせから、対策・再テストまで一貫して伴走します。
ヒアリング
- 目的・対象の確認
- ご予算・時期の確認
範囲・環境の決定
- 範囲・禁止操作の合意
- 実行環境の選択
AIがテスト実行
- 攻撃検証まで自律実行
- 進捗を随時共有
レポート・報告会
- CVSSで危険度を評価
- 修正方法をご説明
対策・再テスト
- 修正対応のご支援
- 再テストで効果確認
継続診断プランでは、STEP 3〜5を毎週くり返し、システムの変更や新たな脆弱性に合わせてリスクを確認します。
Price
料金表
1回だけのテストから毎週の継続テストまで、目的に合わせてお選びいただけます。
Spot
単発診断
まずは現状のリスクを確認したい方に
含まれる内容
- 範囲の合意・ヒアリング
- AIによるペネトレーションテスト
- CVSS付きレポート・報告会
Subscription
継続診断
屈強なセキュリティ対策をしたい方に
含まれる内容
- 週次ペネトレーションテスト
- 最新の脆弱性情報を随時反映
- 週次レポート
Remediation
対策 / SI
見つかった弱点の修正まで任せたい方に
含まれる内容
- 脆弱性の修正対応
- 設定の見直し・改善
- セキュリティ関連のシステム構築
※ 表示価格はすべて税抜です。対象範囲・実行環境の詳細はヒアリングのうえご提案します。
FAQ
よくあるご質問
A事前に合意した範囲・禁止操作の中だけでテストを行い、範囲外への通信は自動で遮断します。影響の大きい操作は担当者の承認後にのみ実行し、全操作を記録していつでも停止できるため、安全にご利用いただけます。
Aスキャナは「既知の弱点を検出する」ことが中心ですが、本サービスはAIが実際に攻撃を試し、本当に侵入できるかどうかまで実証します。そのうえで並列実行による網羅性・スピードと、CVSS評価付きのレポートを両立します。
A対象範囲や環境により異なります。多数のテストを並列で実行するため短時間で結果を出せますが、詳細はヒアリングのうえでご提案します。継続診断プランでは毎週くり返しテストを実施します。
A可能です。実行環境として「完全ローカル（お客様の環境内）」を選択でき、診断データを外部へ出さずにテストを完結できます。クラウドGPUを使う構成も選べます。
Aはい。対策 / SIプランとして、脆弱性の修正対応や設定の見直し、セキュリティ関連のシステム構築までご支援します。修正後の再テストで効果を確認することも可能です。