攻撃面レビュー報告書

1. はじめに

本報告書は、当社が顧客に提供する攻撃面レビューサービスの見本です。記載内容（法人名、ドメイン、IP、所見等）はすべて架空であり、実在の企業・組織・サービスとは無関係です。

本見本では、当社が顧客向けに作成する報告書の構成・粒度・推奨対応の書き方をご確認いただけます。実際の案件では、貴社の対象資産と契約スコープに基づき、同等の構造で作成いたします。

本調査は侵入実証試験・認証突破・全ポートスキャン・サービス停止試験を含みません。

3. 調査範囲・方法

5. 所見

6. 推奨対応のまとめ

1. 最優先: OSS 系認証管理コンソールと推定される URL について、インターネット非公開または強固なアクセス制御を適用する。
2. 短期: SSH・8080/tcp の業務必要性を確認し、不要なサービスは閉鎖またはファイアウォールで限定する。
3. 中期: サブドメイン棚卸しを年次で実施し、不要な DNS レコードを削除する。
4. 継続: DMARC / SPF / TLS 証明書の有効期限管理を維持する。

7. 制限事項

• 本報告は調査実施時点の公開情報・スキャン結果に基づくものであり、将来の安全性を保証するものではありません。
• 観測結果は第三者インフラ・CDN・クラウドの影響を受ける場合があります。
• 「高」「中」等の重要度は、当社基準による攻撃面レビュー上の優先度であり、CVSS スコアではありません。
• 技術的な詳細は別紙 1〜4に記載しています。原本データは別途合意に従い保管します。

情報の取扱い（実際の案件における運用）

実際の案件では、契約期間中、貴社情報は業務遂行環境（当社が管理する設備）および閉域環境内（業務遂行環境および契約済みバックアップ媒体）で保管し、調査に必要な通信以外には外に出しません。報告書は基本的にメールで納品します。契約終了時には、業務委託基本契約書 第6条の2 第7項および消去手順書に従い、当該情報を消去し、消去証明書を貴社に交付します。

22/tcp   ssh        OpenSSH
80/tcp   http       nginx
443/tcp  ssl/http   nginx
8080/tcp http-proxy?

{
  "run_id": "sample-active-20260618",
  "case_title": "攻撃面スキャン（契約範囲内）",
  "started_at": "2026-06-18T14:02:11+09:00",
  "artifacts_sha256": "c3d4e5f6789012345678901234567890abcdef1234567890abcdef12345678"
}

{"ts":"2026-06-18T14:02:15+09:00","tool":"サブドメイン列挙","target":"example.co.jp","exit":0}
{"ts":"2026-06-18T14:05:33+09:00","tool":"Web 生存確認","target":"hosts.txt","exit":0}
{"ts":"2026-06-18T14:18:02+09:00","tool":"代表ポート確認","target":"example.co.jp","exit":0}

受託者: 株式会社Ｉ．Ｃ．Ａ． 調査基盤（閉域環境内で完結）／ 納品は基本メール（コンサル・監査は別途）
品質保証: 公開見本のため承認記録は省略しています。実際の提出版は三段レビュープロセスと承認記録を伴います。
品質: 本報告書の作成・レビュー・提出基準は、契約スコープのいかんを問わず当社で統一しています（全案件で同一の品質基準を適用）。