ページの本文へ

Hitachi

株式会社 日立ソリューションズ

日立ソリューションズ『脆弱性検査・ファジングテストツール Defensics』のシステム、サービス概要・価格や、解決できる課題についてご紹介します。

脆弱性検査・ファジングテストツールDefensics

Synopsys社のDefensicsとは、製品セキュリティ確保のための強力なファジングテストソリューションです。包括的な自動ブラックボックステストによってソフトウェアやデバイスに潜む未知の脆弱性・品質問題を検出します。250以上のプロトコルやファイルフォーマットのチェックに対応し、安心安全で信頼性の高いソフトウェアの開発に役立ちます。

日立ソリューションズはDefensicsの国内販売代理店です。

製品デモを依頼する 無償トライアルを依頼する

2021 Best Sales of the Year

※日立ソリューションズはSynopsys社より「Best Sales of the Year」を受賞しました。

このようなお悩みはありませんか?

  • 課題
  • 解決
  • 自社の製品・設備について、脆弱性対策のテストを行いたい。

    • ステートフルなファジングによって通信の全シーケンス・全フィールドのテストが可能です。
    • 通信プロトコルやファイルフォーマットにあわせて問題の起きそうなデータを大量に自動生成できます。
  • 外部ベンダーから調達したソフトウェアやデバイスについて、品質・セキュリティ面の心配がある。

    • ブラックボックステストによりソースコード不要で検査が可能です。
    • テストを再現可能なパッケージを生成でき、ベンダーへの修正依頼とテストの再現が容易です。
  • ファジングを行いたいが、自社製品で扱うプロトコルやファイルフォーマットに対応したツールが見つからない。

    • 250を超えるビルド済みのテストスイートを利用でき、各スイート単位で購入が可能です。
    • SDKが用意されているため、独自プロトコルのファジングにも対応しています。

ファジングとは

ファジング(fuzzing)とは、ファジングテスト(fuzz testing)とも呼ばれる伝統的なソフトウェアテスト手法のひとつです。IoT時代のいま脚光を浴びており、自動車(車載機器)、医療機器、事務機、家電などに実装される組み込みシステムや、産業制御システム、通信設備など、あらゆる分野のテストで用いられています。

問題を起こしそうなデータであるファズ(fuzz)を大量に生成して、ソフトウェアに対して総当たり的に入力し、その反応や挙動を見ることによって未知の脆弱性(開発者が設計・開発段階で予期できなかったり、見落としてしまった脆弱性や、世の中でまだ認識されていないような脆弱性)を検出し、ゼロデイ攻撃などのリスクを低減します。

ファジングイメージ

脆弱性を見つけるためにサイバー犯罪者やセキュリティ専門家が実際に用いる手法であるため、開発やテストの際に実施しておかないとサイバー攻撃によるセキュリティ事故を起こす可能性が高まります。

ソフトウェアやデバイスのロバストネステスト(堅牢性試験)、品質保証などの場面で活用される手法であり、これらを行うツールは「ファジングツール」「ファザー(fuzzer)」とも呼ばれます。ISO/SAE 21434、ISA/IEC 62443などの各種セキュリティ関連の認証取得・規格対応にも役立ちます。

商品概要

Defensics とは

Defensics(読み方:ディフェンシクス)とは、長い歴史と多くの実績を持つファジングテストツールのパイオニアです。
ブラックボックステストを行う動的解析ツール(DAST)で、調達・開発・テストのあらゆる段階でソフトウェアにおける欠陥を見つけ出します。

※DAST:Dynamic Application Security Testing(動的アプリケーション・セキュリティ・テスト)。

Defensicsが選ばれる理由

業界リーダーが開発するファジングツール

Defensicsの開発元であるSynopsys社は、アプリケーションセキュリティテストの分野におけるガートナー社のレポートで5年連続リーダー評価*を受けているセキュア開発分野の先進企業です。

* Gartner, Inc. “Magic Quadrant for Application Security Testing” by Dale Gardner, Mark Horvath, and Dionisio Zumerle, May 27, 2021. (*1)

脆弱性検出の実績

Defensicsはこれまで数多くの未知の脆弱性を発見してきました。極めて大きな話題となったOpenSSLの脆弱性「Heartbleed」の発見にも、Defensicsが役立っています。

ネット史上最悪の脆弱性と呼ばれる「Heartbleed(ハートブリード)」とは?

Defensicsの特長

250を超える作成済みのテストスイート

ファジングでは、テスト対象ソフトウェアの入力タイプ(インターフェース、ネットワークプロトコル、ファイルなどのフォーマット)に応じてファズデータを作成する必要があります。DefensicsにはTCP/IPをはじめ、Wi-FiやBluetoothなどを含む250以上のビルド済みテストスイートが用意されています。これを用いることでテスターは人手でテストを作成する必要なく、すぐにファジングテストを開始できます。
またDefensicsはサーバー側のテストだけでなくクライアント側のテストにも対応しています。SDKを用いて独自のプロトコルをテストすることも可能です。

テストスイート一覧

各テストスイートは、新しい入力タイプ、仕様、RFCを反映して常に更新されています。

カテゴリー テストスイート
Authentication(認証)、 Authorization(許可)、 Accounting(課金や ユーザーのアクセス 情報の収集)(AAA) Diameter クライアント・サーバー、EAPOL サーバー、Kerberos サーバー、LDAPv3 クライアント・サーバー、RADIUS クライアント・サーバー、TACACS+ クライアント・サーバー、MACsecサーバー
アプリケーション FIX、JSON フォーマット、Web アプリケーション、WebSocket クライアント・サーバー、XML SOAP クライアント・サーバー、XML ファイル、XMPP サーバー
バス・テクノロジ CAN Bus、CAN FD
セルラー・コア BICC/M3UA、GRE、GTP Prime、GTPv0、GTPv1 クライアント・サーバー、GTPv2-C クライアント・サーバー、PMIPv6 クライアント・サーバー、S1AP、SCTP クライアント・サーバー、SMPP、SMS (SMPPインジェクション)、SMS (ファイル・インジェクション)、X2-AP、MAP
コアIP DHCP/BOOTP クライアント・サーバー、DHCPv6 クライアント・サーバー、DNS クライアント・サーバー、FTP クライアント・サーバー、HTTP クライアント・サーバー、HTTP/2 サーバー、ICAP サーバー、IPv4 パッケージ (ARP クライアント・サーバー / ICMP / IGMP / IPv4 / TCP for IPv4 クライアント・サーバー)、IPv6 パッケージ (ICMPv6 / IPv6 / TCP for IPv6 クライアント・サーバー)、SOCKS クライアント・サーバー
電子メール IMAP4 サーバー、MIME、POP3 サーバー、SMTP クライアント・サーバー
汎用 Traffic Capture Fuzzer、Universal ASN.1 BER サーバー、Universal Fuzzer
ICS 60870-5-104 (iec104) クライアント・サーバー、61850/Goose/SV、61850/MMS クライアント・サーバー、BACNET、CIP サーバー、COAP、DNP3 クライアント・サーバー、MQTT クライアント・サーバー、Modbus マスター、Modbus PLC、OPC UA サーバー、Profinet DCP、Profinet PTCP クライアント・サーバー
リンク・マネジメント LACP (802.3ad)、STP/RSTP/MSTP/ESTP
メディア アーカイブ・パッケージ(GZIP / JAR / ZIP)、オーディオ・パッケージ(MP3 / MPEG4 (M4A/MP4) / OGG / WAV / Windows Media (WMA/WMV))、イメージ・パッケージ(GIF / JPEG / PNG / TIFF)、ビデオ・パッケージ(H.264 ファイル Suite / H.264 RTP フォーマット / MPEG2-TS / MPEG4 (M4A/MP4) / OGG / Windows Media (WMA/WMV))、vCalendar(vCard)
医療 DICOM サーバー、HL7v2 サーバー
広域イーサネット BFD、CFM (802.1ag、Y.1731)、E-LMI (MEF-16)、Ethernet (802.3、802.1Q)、GARP (802.1D)、LLDP (802.1AB)、OAM (802.3ah)、PBB-TE サーバー、Synchronous Ethernet (ESMC)
PKI(公開鍵基盤) CMPv2 クライアント・サーバー、CSR
遠隔管理 CWMP (TR-69) ACS、CWMP (TR-69) CPE、IPMI サーバー、Netconf test suite、PCP サーバー、SNMP trap、SNMPv2c サーバー、SNMPv3 サーバー、SSHv1 サーバー、SSHv2 サーバー、Syslog、TFTP サーバー、Telnet サーバー
ルーティング BGP4+ クライアント・サーバー、DVMRP パッケージ(DVMRPv1 / DVMRPv3)、IS-IS、LDP、MPLS サーバー、MSDP、NHRP、OSPFv2、OSPFv3、Openflow コントローラ、Openflow スイッチ、PIM-SM/DM、RIP、RIPng、RSVP、TRILL サーバー、VRRP
ストレージ CIFS/SMB サーバー、DCE/RPC サーバー、FCOE + FIP クライアント・サーバー、NFSv3 サーバー、NFSv4 サーバー、Netbios サーバー、SMBv2 クライアント・サーバー、SMBv3 クライアント・サーバー、SunRPC サーバー、iSCSI クライアント・サーバー
時刻同期 IEEE1588 PTP クライアント・サーバー、NTP クライアント・サーバー
VoIP H.323 クライアント・サーバー、MGCP サーバー、MSRP サーバー、RTP/RTCP/SRTP、RTSP クライアント・サーバー、SIP UAC、SIP UAS (+TT)、SIP-I サーバー、STUN クライアント・サーバー、TURN クライアント・サーバー
VPN DTLS クライアント・サーバー、IKEv2 クライアント・サーバー、IPSec、ISAKMP/IKEv1 クライアント・サーバー、L2TPv2/v3 クライアント・サーバー、OCSP クライアント・サーバー、SCEP、SSTP、TLS/SSL クライアント・サーバー、X.509v3 Certificates
無線 Bluetooth LE パッケージ(ATT クライアント・サーバー / アドバタイズ / HOGP ホスト / Health / プロファイル / SMP クライアント・サーバー)、Bluetooth パッケージ(A2DP / AVRCP / BNEP / HFP AG/Unit / HSP AG/Unit / L2CAP / OBEX-サーバー / RFCOMM / SDP)、Wi-Fi AP パッケージ(802.11 WLAN AP / 802.11 WPA AP / WPA Enterprise)、Wi-Fi Client パッケージ(802.11 WLAN Client / 802.11 WPA Client)
5Gテクノロジー GTPv2-C クライアント・サーバー、S1AP/NAS クライアント・サーバー、GTPv1 クライアント・サーバー、E1AP クライアント・サーバー、NGAP/NAS クライアント・サーバー、X2AP クライアント・サーバー、XNAP クライアント・サーバー、PFCP クライアント・サーバー、F1AP クライアント・サーバー

※テストスイートは頻繁に追加されます。最新のリストについてはお問い合わせください。

ステートフルなテストエンジン

ステートフルプロトコルエンジンにより、仕様に従ったステートフルなテストが可能です。つまり、プロトコルやファイルフォーマットの仕様における全シーケンス・全フィールドに渡って、不正なパターン(アノマリー)を埋め込んでテストを実施できます。またDefensicsはエラーを引き起こす可能性の高いアノマリーを生成するため、効率的に問題の起きそうなデータをメッセージに注入できます。このようにさまざまな入力のタイプに応じて大量のテストケースを自動生成することで、網羅的かつ効率的なファジングテストが可能です。

詳細なレポートと修復パッケージ

ファジングで実行された実際のシーケンスやメッセージなどを確認することができ、問題の解析と特定を迅速に行うことができます。またテスト対象が自社開発のコンポーネントでない場合にも、修復パッケージ(Remediation Package)をエクスポートすることで、問題を再現するための情報をベンダーやサプライヤーと共有することができるため、欠陥の修正を容易に依頼することができます。

柔軟なテスト対象の計測手法

Defensicsでは脆弱性や不具合の検出に多様な手段を用いることができます。syslogやsnmpによるモニタリングや、エージェント、外部スクリプトなどに対応しているため、柔軟な死活監視が可能です。またSafe Guardチェッカーによって、クラッシュなどの異常な挙動だけでなくセキュリティ機能に関する分かりにくい問題も見つけることができます。

Safe Guardチェッカー

  • アンプ攻撃
  • 認証バイパス
  • ブラインドLDAPインジェクション
  • ブラインドSQLインジェクション
  • 証明書の妥当性検査
  • RRSIGレコードの署名者名の圧縮
  • クロスサイトリクエストフォージェリ
  • クロスサイトスクリプティング
  • 有効ケースに比べ過剰なクッキー
  • Heartbleed
  • 情報漏洩
  • 不十分な乱数性
  • LDAPインジェクション
  • 不正な形式のHTTP
  • リモート実行
  • SQLインジェクション
  • 予期しないデータ
  • 保護されていない認証情報
  • 弱い暗号

Defensicsの使い方

DefensicsはWindowsやLinuxの環境にインストールして利用するソフトウェア製品です。画面の指示に従って手順を実行することでファジングテストを実行できます。

Defensicsの価格とライセンス体系

  • Defensicsのライセンスは年間サブスクリプションでの提供となります。
  • 費用は利用するテストスイートによって変動します。

価格情報は公開されておりませんので当社までお問い合わせください。料金やライセンス体系に関する質問がある場合もお気軽にご連絡ください。

無償トライアルについて

トライアル用のライセンスを用いてDefensicsの評価を行うことができます(期間は30日間です)。ご希望のお客様はお問い合わせからトライアル希望をお伝えください。

無償トライアルを依頼する

FAQ(よくあるご質問)

Defensicsは年間サブスクリプションライセンスで提供されます。詳細は以下を参照ください。
Defensicsの価格とライセンス体系

あります。詳細は以下を参照ください。
無償トライアルについて

公開されておりません。無償トライアルを実施いただければマニュアルなどを参照いただけます。

概要は以下のとおりです。詳細は問い合わせください。

ハードウェア
  • Intel Core i5以上のプロセッサ(または同等品)
  • 4GBのシステムメモリー
  • テストスイートのインスタンス(同時実行)ごとに1~3GBの追加メモリー
  • インストールおよびログファイルの保存用に300GBのディスクスペース
  • ギガビットイーサネットNIC1枚以上
  • 解像度1024 x 768以上
ソフトウェア OS
  • Microsoft Windows 8 (64bit)
  • Microsoft Windows 10 (64bit)
  • Ubuntu 20.04 LTS (64bit)
Java
  • OpenJDK JRE 11

※環境によって他パッケージ要

IPAの「ファジングFAQ」の回答を引用します。

検査を実施する手法と、実施したことで得られる結果が異なります。
ペネトレーションテストは組織のサーバーやネットワークシステムに対して攻撃者が実際に侵入できるかどうかという点に着目して検査を行います。そのため、運用上のシステムに残存している既知の脆弱性を狙ったり、設計段階での不備を突いたりして実施します。
ファジングによる検査は、PC向けソフトウェア、組み込みソフトウェアなどに対して脆弱性を発現させやすいデータやファイルを送り込み、脆弱性の有無を検査する方法です。他の検査では見つけづらい脆弱性も見つけられます。バイナリ形式のソフトウェアの検査ができることが特徴です。

参考:https://www.ipa.go.jp/security/vuln/fuzz_faq.html#012

商用製品を用いることでより多くのバグや脆弱性を発見できます。
IPAが行った計17台の組込み機器に対するファジングテストでは、発見された全24件の脆弱性のうちOSSなどで発見したものは4件(12.5%)にとどまり、残りの20件は商用製品のファジングツールで発見されています。
参考:https://www.ipa.go.jp/files/000009390.pdf

Defensicsのことなら日立ソリューションズ

日立ソリュ―ションズはDefensicsの国内販売代理店です。当社の特色について説明します。

solution 01

豊富な実績とノウハウを活かし、お客様の課題を解決

長年にわたって蓄積してきたシステム開発・構築の経験より、お客様の課題に合わせた柔軟な提案が可能です。

solution 02

関連製品との組み合わせで、柔軟かつスピーディーに対応

さまざまな関連製品と連携させることで、要件にフィットしたシステムが速やかに実現できます。

solution 03

日立グループの力を結集した
“One Hitachi”のSI力

プロジェクト推進をワンストップで支援。日立グループ各社の知見を活かした”One Hitachi”体制で幅広く対応します。

2021 Best Sales of the Year

日立ソリューションズはDefensicsのメーカーであるSynopsys社より、最も営業成績に貢献したパートナーとしてアワードを受賞しています。

関連商品との組み合わせでDefensicsの活用法はさらに広がる

OSS管理ツール
BlackDuck

OSS由来の脆弱性を早期に把握して迅速に対応

静的解析ツール
Coverity

高精度のコード解析で早期に不具合を検出

エンジニア向け
セキュリティ教育
セキュア開発eラーニング

開発者のリテラシー向上で現場力をUP

※Defensicsは、Synopsys, Inc.の米国およびその他の国における商標または登録商標です。

最終更新日:2022年3月8日