Defensics
脆弱性検査・ファジングテストツール
Synopsys社のDefensicsとは、製品セキュリティ確保のための強力なファジングテストソリューションです。包括的な自動ブラックボックステストによってソフトウェアやデバイスに潜む未知の脆弱性・品質問題を検出します。250以上のプロトコルやファイルフォーマットのチェックに対応し、安心安全で信頼性の高いソフトウェアの開発に役立ちます。
日立ソリューションズはDefensicsの国内販売代理店です。
- ※日立ソリューションズはSynopsys社より「Best Sales of the Year」を受賞しました。
このようなお悩みはありませんか?
- 課題
- 解決
-
課題
- 自社の製品・設備について、脆弱性対策のテストを行いたい。
-
解決
- ステートフルなファジングによって通信の全シーケンス・全フィールドのテストが可能です。
- 通信プロトコルやファイルフォーマットにあわせて問題の起きそうなデータを大量に自動生成できます。
-
課題
- 外部ベンダーから調達したソフトウェアやデバイスについて、品質・セキュリティ面の心配がある。
-
解決
- ブラックボックステストによりソースコード不要で検査が可能です。
- テストを再現可能なパッケージを生成でき、ベンダーへの修正依頼とテストの再現が容易です。
-
課題
- ファジングを行いたいが、自社製品で扱うプロトコルやファイルフォーマットに対応したツールが見つからない。
-
解決
- 250を超えるビルド済みのテストスイートを利用でき、各スイート単位で購入が可能です。
- SDKが用意されているため、独自プロトコルのファジングにも対応しています。
ファジングとは
ファジング（fuzzing）とは、ファジングテスト（fuzz testing）とも呼ばれる伝統的なソフトウェアテスト手法のひとつです。IoT時代のいま脚光を浴びており、自動車（車載機器）、医療機器、事務機、家電などに実装される組み込みシステムや、産業制御システム、通信設備など、あらゆる分野のテストで用いられています。
問題を起こしそうなデータであるファズ（fuzz）を大量に生成して、ソフトウェアに対して総当たり的に入力し、その反応や挙動を見ることによって未知の脆弱性（開発者が設計・開発段階で予期できなかったり、見落としてしまった脆弱性や、世の中でまだ認識されていないような脆弱性）を検出し、ゼロデイ攻撃などのリスクを低減します。
脆弱性を見つけるためにサイバー犯罪者やセキュリティ専門家が実際に用いる手法であるため、開発やテストの際に実施しておかないとサイバー攻撃によるセキュリティ事故を起こす可能性が高まります。
ソフトウェアやデバイスのロバストネステスト（堅牢性試験）、品質保証などの場面で活用される手法であり、これらを行うツールは「ファジングツール」「ファザー（fuzzer）」とも呼ばれます。ISO/SAE 21434、ISA/IEC 62443などの各種セキュリティ関連の認証取得・規格対応にも役立ちます。
商品概要
Defensics とは
Defensics（読み方：ディフェンシクス）とは、長い歴史と多くの実績を持つファジングテストツールのパイオニアです。
ブラックボックステストを行う動的解析ツール（DAST※）で、調達・開発・テストのあらゆる段階でソフトウェアにおける欠陥を見つけ出します。
- ※DAST：Dynamic Application Security Testing（動的アプリケーション・セキュリティ・テスト）。
Defensicsが選ばれる理由
業界リーダーが開発するファジングツール
Defensicsの開発元であるSynopsys社は、アプリケーションセキュリティテストの分野におけるガートナー社のレポートで5年連続リーダー評価*を受けているセキュア開発分野の先進企業です。
- *Gartner, Inc. “Magic Quadrant for Application Security Testing” by Dale Gardner, Mark Horvath, and Dionisio Zumerle, May 27, 2021. (*1)
脆弱性検出の実績
Defensicsはこれまで数多くの未知の脆弱性を発見してきました。極めて大きな話題となったOpenSSLの脆弱性「Heartbleed」の発見にも、Defensicsが役立っています。
Defensicsの特長
250を超える作成済みのテストスイート
ファジングでは、テスト対象ソフトウェアの入力タイプ（インターフェース、ネットワークプロトコル、ファイルなどのフォーマット）に応じてファズデータを作成する必要があります。DefensicsにはTCP/IPをはじめ、Wi-FiやBluetoothなどを含む250以上のビルド済みテストスイートが用意されています。これを用いることでテスターは人手でテストを作成する必要なく、すぐにファジングテストを開始できます。
またDefensicsはサーバー側のテストだけでなくクライアント側のテストにも対応しています。SDKを用いて独自のプロトコルをテストすることも可能です。
テストスイート一覧
各テストスイートは、新しい入力タイプ、仕様、RFCを反映して常に更新されています。
| カテゴリー | テストスイート |
|---|---|
| Authentication（認証）、Authorization（許可）、Accounting（課金やユーザーのアクセス情報の収集）（AAA） | Diameter クライアント・サーバー、EAPOL サーバー、Kerberos サーバー、LDAPv3 クライアント・サーバー、RADIUS クライアント・サーバー、TACACS+ クライアント・サーバー、MACsec サーバー |
| アプリケーション | FIX、JSON フォーマット、Web アプリケーション、WebSocket クライアント・サーバー、XML SOAP クライアント・サーバー、XML ファイル、XMPP サーバー、AMQP サーバー、WAMP サーバー、OWAMP サーバー、TWAMP サーバー |
| 自動車* | CAN Bus、CAN FD、DoIP サーバー、gPTP サーバー、SOME/IP、SRP サーバー |
| セルラー・コア | BICC/M3UA、GRE、GTP Prime、GTPv0、PMIPv6 クライアント・サーバー、SCTP クライアント・サーバー、SMPP、SMS（SMPP インジェクション）、SMS（ファイル・インジェクション）、MAP、BSSAP、BSSAP+、CAP、INAP、ISUP、MTP3 / M2UA|M2PA、TCAP / SCCP / M3UA、SBI クライアント・サーバー |
| コア IP | DHCP/BOOTP クライアント・サーバー、DHCPv6 クライアント・サーバー、DNS クライアント・サーバー、FTP クライアント・サーバー、HTTP クライアント・サーバー、HTTP/2 クライアント・サーバー、HTTP/3 サーバー、ICAP サーバー、IPv4 パッケージ（ARP クライアント・サーバー、ICMP、IGMP、IPv4、TCP for IPv4 クライアント・サーバー）、IPv6 パッケージ（ICMPv6、IPv6、TCP for IPv6 クライアント・サーバー）、SOCKS クライアント・サーバー、マルチキャスト DNS、PPP over L2TP クライアント、PPPoE |
| 電子メール | IMAP4 クライアント・サーバー、MIME、POP3 サーバー、SMTP クライアント・サーバー |
| 汎用 | SDK Express、Universal ASN.1 BER、Universal Fuzzer |
| ICS* | 60870-5-104（iec104）クライアント・サーバー、61850/Goose/SV、61850/MMS クライアント・サーバー、BACNET、CIP サーバー、COAP サーバー、DNP3 クライアント・サーバー、MQTT クライアント・サーバー、Modbus マスター、Modbus PLC、OPC UA サーバー、Profinet DCP、Profinet PTCP クライアント・サーバー、DLMS/COSEM クライアント・サーバー、ISASecure テスト・ソリューション |
| IoT* | Thread、BT、Wi-Fi AP、gRPC、Zigbee |
| リンク・マネジメント | LACP（802.3ad）、STP/RSTP/MSTP/ESTP |
| メディア | アーカイブ・パッケージ（GZIP、JAR、ZIP）、オーディオ・パッケージ（MP3、MPEG4（M4A/MP4）、OGG、WAV、Windows Media（WMA/WMV））、イメージ・パッケージ（GIF、JPEG、PNG、TIFF）、ビデオ・パッケージ（H.264 ファイル・スイート、H.264 RTP フォーマット、MPEG2-TS、MPEG4（M4A/MP4）、OGG、Windows Media（WMA/WMV）） |
| 医療 | DICOM サーバー、HL7v2 サーバー、FHIR クライアント・サーバー |
| 広域イーサネット | BFD、CFM（802.1ag, Y.1731）、E-LMI（MEF-16）、イーサネット（802.3, 802.1Q）、GARP（802.1D）、LLDP（802.1AB）、OAM（802.3ah）、PBB-TE サーバー、Synchronous Ethernet（ESMC） |
| ネットワーク* | BGP、SNMP、IPv4/IPv6、SIP、広域イーサネット |
| PKI（公開鍵基盤） | CMPv2 クライアント・サーバー、CSR |
| 遠隔管理 | CWMP（TR-69）ACS、CWMP（TR-69）CPE、IPMI サーバー、Netconf、PCP サーバー、SNMP trap、SNMPv2c サーバー、SNMPv3 サーバー、SSHv1 サーバー、SSHv2 サーバー、Syslog、TFTP サーバー、Telnet サーバー |
| ルーティング | BGP4+ クライアント・サーバー、IS-IS、LDP、MPLS サーバー、MSDP、OSPFv2、OSPFv3、Openflow コントローラ、Openflow スイッチ、PIM-SM/DM、RIP、RIPng、RSVP、TRILL サーバー、VRRP、COPS クライアント・サーバー |
| ストレージ | CIFS/SMB サーバー、DCE/RPC サーバー、NFSv3 サーバー、NFSv4.0/4.1 サーバー、Netbios サーバー、DNNG、SMBv2 クライアント・サーバー MP、SMBv3 クライアント・サーバー、SunRPC サーバー、iSCSI クライアント・サーバー |
| 通信* | 5G、SMS、Pre-5G |
| 時刻同期 | IEEE1588 PTP クライアント・サーバー、NTP クライアント・サーバー |
| VoIP | H.323 クライアント・サーバー、H.248 GW バイナリ・テキスト、H.248 MGC バイナリ・テキスト、MGCP サーバー、MSRP サーバー、RTP/RTCP/SRTP、RTSP クライアント・サーバー、SIP UAC、SIP UAS（+TT）、SIP-I サーバー、STUN クライアント・サーバー、TURN クライアント・サーバー、SigComp サーバー |
| VPN | DTLS クライアント・サーバー、IKEv2 クライアント・サーバー、IPSec、ISAKMP/IKEv1 クライアント・サーバー、L2TPv2/v3 クライアント・サーバー、OCSP クライアント・サーバー、SCEP、SSTP、TLS/SSL クライアント・サーバー、X.509v3 認証、VXLAN |
| 無線 | Zigbee パッケージ（FuzzBox Zigbee APS、FuzzBox Zigbee MAC、FuzzBox Zigbee NWK）、Thread パッケージ（FuzzBox Thread 6LoWPAN、FuzzBox Thread MAC）、Bluetooth LE パッケージ（ATT クライアント・サーバー、アドバタイズ、HOGP ホスト、Health、L2CAP サーバー、LL ペリフェラル、プロファイル、SMP クライアント・サーバー）、Bluetooth パッケージ（A2DP、AVRCP、BNEP、HFP AG/Unit、HSP AG/Unit、L2CAP、MAP クライアント、OBEX- サーバー、PBAP クライアント、RFCOMM、SDP）、Wi-Fi AP パッケージ（802.11 WLAN AP、802.11 WPA AP、802.11 WPA3 AP）、Wi-Fi クライアント・パッケージ（802.11 WLAN クライアント、802.11 WPA クライアント、802.11 WPA3 クライアント） |
| 5G テクノロジー | GTPv2-C クライアント・サーバー、S1AP/NAS クライアント・サーバー、GTPv1 クライアント・サーバー、E1AP クライアント・サーバー、NGAP/NAS クライアント・サーバー、X2AP クライアント・サーバー、XNAP クライアント・サーバー、PFCP クライアント・サーバー、F1AP クライアント・サーバー |
- *Defensics と同時に購入可能な業種別ソリューションです。
ステートフルなテストエンジン
ステートフルプロトコルエンジンにより、仕様に従ったステートフルなテストが可能です。つまり、プロトコルやファイルフォーマットの仕様における全シーケンス・全フィールドに渡って、不正なパターン（アノマリー）を埋め込んでテストを実施できます。またDefensicsはエラーを引き起こす可能性の高いアノマリーを生成するため、効率的に問題の起きそうなデータをメッセージに注入できます。このようにさまざまな入力のタイプに応じて大量のテストケースを自動生成することで、網羅的かつ効率的なファジングテストが可能です。
詳細なレポートと修復パッケージ
ファジングで実行された実際のシーケンスやメッセージなどを確認することができ、問題の解析と特定を迅速に行うことができます。またテスト対象が自社開発のコンポーネントでない場合にも、修復パッケージ（Remediation Package）をエクスポートすることで、問題を再現するための情報をベンダーやサプライヤーと共有することができるため、欠陥の修正を容易に依頼することができます。
柔軟なテスト対象の計測手法
Defensicsでは脆弱性や不具合の検出に多様な手段を用いることができます。syslogやsnmpによるモニタリングや、エージェント、外部スクリプトなどに対応しているため、柔軟な死活監視が可能です。またSafe Guardチェッカーによって、クラッシュなどの異常な挙動だけでなくセキュリティ機能に関する分かりにくい問題も見つけることができます。
Safe Guardチェッカー
- アンプ攻撃
- クロスサイトスクリプティング
- リモート実行
- 認証バイパス
- 有効ケースに比べ過剰なクッキー
- SQLインジェクション
- ブラインドLDAPインジェクション
- Heartbleed
- 予期しないデータ
- ブラインドSQLインジェクション
- 情報漏洩
- 保護されていない認証情報
- 証明書の妥当性検査
- 不十分な乱数性
- 弱い暗号
- RRSIGレコードの署名者名の圧縮
- LDAPインジェクション
- クロスサイトリクエストフォージェリ
- 不正な形式のHTTP
Defensicsの使い方
DefensicsはWindowsやLinuxの環境にインストールして利用するソフトウェア製品です。画面の指示に従って手順を実行することでファジングテストを実行できます。
-
インストール
マシンにDefensicsをインストールします。
-
テスト設定
テスト対象や死活監視方法などに関する設定を行います。
-
テスト実行
ファジングを実行し、ソフトウェアの欠陥を見つけます。
Defensicsの価格とライセンス体系
- Defensicsのライセンスは年間サブスクリプションでの提供となります。
- 費用は利用するテストスイートによって変動します。
価格情報は公開されておりませんので当社までお問い合わせください。料金やライセンス体系に関する質問がある場合もお気軽にご連絡ください。
無償トライアルについて
トライアル用のライセンスを用いてDefensicsの評価を行うことができます（期間は30日間です）。ご希望のお客さまはお問い合わせからトライアル希望をお伝えください。
FAQ（よくあるご質問）
-
Defensicsの値段やライセンス形態を教えてください。
Defensicsは年間サブスクリプションライセンスで提供されます。詳細は以下を参照ください。
-
Defensicsには無料の評価版・体験版のライセンスはありますか？
あります。詳細は以下を参照ください。
-
Defensicsのマニュアルやユーザーガイドはどこにありますか？
公開されておりません。無償トライアルを実施いただければマニュアルなどを参照いただけます。
-
Defensicsの前提となるシステム要件や推奨ハードウェアスペックを教えてください。
概要は以下のとおりです。詳細は問い合わせください。
ハードウェア - Intel Core i5以上のプロセッサ（または同等品）
- 4GBのシステムメモリー
- テストスイートのインスタンス（同時実行）ごとに1～3GBの追加メモリー
- インストールおよびログファイルの保存用に300GBのディスクスペース
- ギガビットイーサネットNIC1枚以上
- 解像度1024 x 768以上
ソフトウェア OS
- Microsoft Windows 8 (64bit)
- Microsoft Windows 10 (64bit)
- Ubuntu 20.04 LTS (64bit)
Java
- OpenJDK JRE 11
- ※環境によって他パッケージ要
-
「ファジング」と「ペネトレーションテスト（ペンテスト）」の違いは何ですか？
IPAの「ファジングFAQ」の回答を引用します。
検査を実施する手法と、実施したことで得られる結果が異なります。
ペネトレーションテストは組織のサーバーやネットワークシステムに対して攻撃者が実際に侵入できるかどうかという点に着目して検査を行います。そのため、運用上のシステムに残存している既知の脆弱性を狙ったり、設計段階での不備を突いたりして実施します。
ファジングによる検査は、PC向けソフトウェア、組み込みソフトウェアなどに対して脆弱性を発現させやすいデータやファイルを送り込み、脆弱性の有無を検査する方法です。他の検査では見つけづらい脆弱性も見つけられます。バイナリ形式のソフトウェアの検査ができることが特徴です。参考：https://www.ipa.go.jp/security/vuln/fuzz_faq.html#012
-
OSSやフリーのファジングツールではなく商用製品を使う理由は何ですか？
商用製品を用いることでより多くのバグや脆弱性を発見できます。
IPAが行った計17台の組込み機器に対するファジングテストでは、発見された全24件の脆弱性のうちOSSなどで発見したものは4件（12.5%）にとどまり、残りの20件は商用製品のファジングツールで発見されています。
参考：https://www.ipa.go.jp/files/000009390.pdf
Defensicsのことなら日立ソリューションズ
日立ソリュ―ションズはDefensicsの国内販売代理店です。当社の特色について説明します。
-
solution 01
豊富な実績とノウハウを生かし、お客さまの課題を解決
長年にわたって蓄積してきたシステム開発・構築の経験より、お客さまの課題に合わせた柔軟な提案が可能です。
-
solution 02
関連製品との組み合わせで、柔軟かつスピーディーに対応
さまざまな関連製品と連携させることで、要件にフィットしたシステムが速やかに実現できます。
-
solution 03
日立グループの力を結集した
“One Hitachi”のSI力プロジェクト推進をワンストップで支援。日立グループ各社の知見を生かした”One Hitachi”体制で幅広く対応します。
日立ソリューションズはDefensicsのメーカーであるSynopsys社より、最も営業成績に貢献したパートナーとしてアワードを受賞しています。
関連商品との組み合わせでDefensicsの活用法はさらに広がる
最終更新日：2023年9月25日
