S&J、AIとセキュリティ専門家の知見を組み合わせた「WebアプリソースコードAI診断」を提供

　S&J株式会社は12日、AIによるサイバー攻撃の高度化・高速化に対応するため、AIによるソースコード解析とセキュリティエンジニアの知見を組み合わせた「WebアプリソースコードAI診断」の提供を開始した。

　攻撃者は、AIを悪用してWebサイトやアプリケーションの脆弱性を効率的に探索し、攻撃を自動化するなど、その手法を高度化・高速化させている。こうした状況に対し、防御側もAI技術を活用し、脆弱性を迅速かつ広範囲に確認することが重要となる。

　WebアプリソースコードAI診断は、顧客から預かったWebアプリケーションのソースコードをAIで解析し、従来のWebサイトにアクセスして行う外部からの動的な診断では把握しにくい内部の処理やロジックに潜む脆弱性を確認する。AIの解析力にS&Jのセキュリティエンジニアの知見を組み合わせることで、脆弱性の候補を抽出するだけでなく、その根拠や修正方法を報告書として提供する。

ソースコード診断が調べる範囲

　サービスでは、AIがソースコードを解析し、入力から処理までの経路をたどることで、一般的な自動診断ツールでは見つけにくい認可の不備や業務ロジック上の問題などを確認する。

　S&Jのセキュリティエンジニアが診断業務で培った判断基準を、AIの解析手順に組み込んでおり、AIは脆弱性の候補を抽出した後、この基準に沿って実際に攻撃が成立するかを検証する。問題がないと判断した候補については、除外した理由とともに顧客に報告する。

　問題が確認された箇所については、該当するファイルや行番号、問題となる理由、推奨する修正方法を報告する。また、診断項目ごとの確認結果や診断が可能だった範囲も明示する。S&Jが第三者の立場で実施した診断結果を報告書として提供するため、取引先へのセキュリティ対策の説明や、セキュリティ監査時の提出資料の一つとして活用できる。

　ソースコードを直接解析するため、稼働中のシステムに診断用の通信を送ることはなく、診断用の環境構築も不要で利用できる。

　診断はS&Jのセキュリティエンジニアが直接実施し、他社への再委託は行わない。必要なソースコードと環境情報を受け取り、内容を確認後、7営業日以内に報告書を提供する。