検証し、守り抜き、新しい時代を技術でつくる.

Webアプリケーション、REST/GraphQL API、モバイルアプリ、およびAWS/GCP等のクラウド環境における設計・実装・設定上の脆弱性を体系的に洗い出し、悪用リスクと修正優先度を評価します。

Webアプリケーション、バックエンドAPI、iOS / Androidアプリケーション、クラウドインフラ（AWS / GCP）のIAM・ネットワーク・ストレージ設定。

OWASP Web Security Testing Guide (WSTG)、OWASP Application Security Verification Standard (ASVS)、OWASP API Security Top 10、CIS Benchmarksに準拠した手動診断とツール診断の併用。

脆弱性診断報告書（エグゼクティブサマリー、検出された脆弱性一覧、CVSSリスク評価、再現手順、具体的な改修コード・設定例）、改修後の再診断結果報告書。

個別の脆弱性の有無にとどまらず、実際の攻撃者がとり得る複数のステップ（初期侵入、権限昇格、横展開、重要資産への到達可能性）をシナリオベースで検証し、多層防御と検知体制の実効性を評価します。

インターネット公開資産（外部ペネトレーションテスト）、社内ネットワーク・エンドポイント連携（内部ペネトレーションテスト）、クラウドネイティブ環境（コンテナ・IAMロール連鎖）。

PTES（Penetration Testing Execution Standard）、NIST SP 800-115、MITRE ATT&CKフレームワークに基づくゴール指向型検証。

ペネトレーションテスト報告書（攻撃シナリオ別の到達結果、境界防御・監視アラートの作動状況評価、侵入手順のタイムライン、構造的な改善ロードマップ）。

公開された新種の脆弱性（CVE等）や独自に検出された複雑なバグが、対象システムにおいて実際に悪用可能かどうか（Exploitability）を検証し、緩和策・パッチの有効性を技術的に立証します。

顧客が所有または明示的に検証を許可したソフトウェア、ミドルウェア、独自開発モジュール、および検証用ステージング環境。

顧客が所有または明示的に許可した環境、および顧客の本番環境から論理的に分離され、外向き通信を許可リストで制御・記録したJOS管理の隔離環境での再現と影響評価、ならびにパッチ適用後の修正検証（Remediation Verification）。

技術検証レポート（脆弱性の成立条件、隔離環境での無害化された再現用PoCコード／スクリプト、影響範囲の特定、WAFルールや設定変更による一時緩和策、恒久修正の検証結果）。

不審な検体や侵害の兆候が発見された際、隔離環境での検体解析とログ調査を通じて挙動・通信先・侵入経路を特定し、封じ込めと再発防止を支援します。

不審な実行ファイル・スクリプト・ドキュメント検体、侵害が疑われるサーバー・クラウド環境の証跡・監査ログ。

顧客の本番環境から論理的に分離され、外向き通信を許可リストで制御・記録したJOS管理の隔離環境（隔離サンドボックス）における静的解析／動的解析、通信先・ハッシュ・挙動パターンのIOC（Indicator of Compromise：侵害指標）抽出、NIST SP 800-61に準拠したトリアージ支援。

マルウェア解析報告書（検体の機能詳細、永続化手法、C2通信仕様）、IOCリスト（YARAルール、対象ハッシュ、ドメイン・IP一覧）、封じ込めおよび復旧・再発防止策の提言書。

顧客の事業領域・サプライチェーン・利用技術に関連する最新の攻撃キャンペーン、脆弱性悪用動向、漏えいリスクを収集・分析し、先手の防御判断に役立つインテリジェンスを提供します。

企業のセキュリティ統括部門（CSIRT/SOC）、プロダクト開発組織、および経営層。

英語圏・日本語圏に加え、中国語圏を含む多言語OSINT（公開情報調査）、脆弱性・脅威情報の構造化分析、業界別脅威動向の評価、および技術的背景をわかりやすく翻訳した経営層向けブリーフィング。すべての情報収集は合法的な公開情報源および正当なライセンスに基づくデータソースの範囲内で実施します。

定期・スポット脅威インテリジェンスレポート、自社資産に関連する重点対策リスト、経営層・意思決定者向けブリーフィング資料。

大規模言語モデル（LLM）や生成AIを組み込んだ業務システム・Webサービスに対し、AI特有の攻撃ベクトルに対する耐性検証と、安全なアーキテクチャ・ガバナンス設計を支援します。

RAG（検索拡張生成）システム、AIエージェント、社内データ連携LLMチャットボット、LLM APIを組み込んだWeb・業務アプリケーション。

OWASP Top 10 for LLM Applications に準拠し、直接・間接プロンプトインジェクション（Prompt Injection）、システムプロンプトや機密情報のデータ漏えい（Sensitive Information Disclosure）、プラグイン・ツール呼び出しを介した権限昇格・過剰なエージェンシー（Excessive Agency / Privilege Escalation）、出力の不適切な処理（Improper Output Handling）等を体系的に検証。あわせて社内AI利用・開発のAIガバナンス支援を実施します。

AIセキュリティ診断報告書（検証プロンプトと応答証跡、リスク評価、入出力ガードレール設計案、RAGの権限制御・テナント分離改善案）、AIセキュリティ設計ガイドライン。

システムの新規構築や大規模刷新において、要件定義・基本設計の段階から脅威モデリングとゼロトラスト原則を組み込み、堅牢で運用しやすいクラウド・アプリケーション基盤を設計します。

新規Webサービス、マルチテナントSaaS、金融・医療・基幹業務システム、クラウド移行プロジェクト。

STRIDE脅威モデリング、OWASP ASVS、NIST SP 800-207（Zero Trust Architecture）、KMSエンベロープ暗号化設計、OpenTelemetryによる監査証跡・観測性設計、CI/CDへのSAST・SCA・IaCスキャン統合。

脅威モデル図・データフロー図（DFD）、認証認可・データ境界仕様書（ADR）、セキュアIaCテンプレート（Terraform）、インシデント対応ランブック。