Kujira Securityデモ用の例です。AIの応答ではありません。
Content-Security-Policy がない
重要度: 中。ヘッダーの欠落を観測したときに、この検査は検出結果になります。
検査が記録する内容: 文書レスポンスに Content-Security-Policy がありませんでした。スキャナーはその欠落を記録します。他の問題がないとは判断しません。
例としての修正案: default-src 'self' のようなポリシーを返します。ヘッダーを付けただけで対策完了とは扱いません。
AIを活用したWebセキュリティ診断
AIで、Webサイトの安全をもっと確かに。
攻撃者に狙われる前に、脆弱性を発見。
Kujira Securityは、Webサイトの脆弱性やセキュリティリスクを可視化し、AIによる分析と改善提案を通じて、企業のセキュリティ対策を支援するプラットフォームです。
このビルドではAIアナリストは有効になっていません。診断の完了は、認証や適合の証明ではありません。
デモ画面（サンプルデータ）サンプル
https://app.example.test
LIGHT診断サンプルの進行状況
- 緊急
- 1
- 高
- 2
- 中
- 4
- 低
- 3
- Content-Security-Policy がない中
- セッションCookieに HttpOnly がない中
- Cookieに Secure がない中
- HTML内のデバッグコメント低
見えないセキュリティリスクを、見える化。
01
潜在的な脆弱性
Webサイトに潜む脆弱性は、攻撃を受けるまで発見されないことがあります。
02
複雑な診断結果
専門知識がなければ、セキュリティリスクの内容や影響を正しく判断することは困難です。
03
対応の優先順位
多くの検出結果の中から、優先的に対処すべき問題を明確にします。
Webセキュリティ対策を、一つのプラットフォームで。
表示は、このビルドの実装状況に合わせています。未提供の項目も、提供中と見分けられるように掲載しています。
- 提供中
Webサイト脆弱性診断
承認した範囲で、GETとHEADだけを使う読み取り専用のLIGHT診断を実行します。
- 提供中
セキュリティ設定チェック
不足しているセキュリティヘッダー、Cookieの属性、TLSの状態、デバッグ情報の露出を、決められた検査で記録します。
- 一部対応
技術スタック・CVE分析
スクリプトのURLから、ライブラリ名とバージョンを示せます。ファイル名だけではCVEを断定しません。
- 未提供
AIセキュリティアナリスト
アナリストは無効です。検出結果をモデルが作成したり、確定したりすることはありません。
- 提供中
脆弱性管理
検出結果には重要度、確認状態、ワークスペース内の対応状況が残ります。
- 提供中
セキュリティレポート
完了した診断は、JSON、HTML、PDFで出力できます。実施範囲、制限、伏字にした根拠を含みます。
- 未提供
認証付きセキュリティ診断
ログインフォームの送信、セッションCookieの保存と再利用、ログイン済みユーザーとしての診断は行いません。
- 未提供
継続的なセキュリティ監視
定期実行とWebhookはありません。診断は担当者がそのつど開始します。
かんたん4ステップでセキュリティ診断
ステップ 1
Webサイトを登録
所有している、または診断を許可されたWebサイトだけを登録します。
ステップ 2
診断範囲を設定
ホストの管理権限を確認し、スキーム、ポート、パス、リクエスト頻度を含む診断範囲を承認します。
ステップ 3
セキュリティ診断を実行
自動検査は、承認したLIGHTの範囲内だけでセキュリティリスクを確認します。
ステップ 4
結果を確認・改善
検出結果と伏字にした根拠を確認し、修正と再診断の状況を管理します。
このビルドでは未提供
AIが、セキュリティ診断をもっとわかりやすく。
検出された脆弱性をAIが分析し、リスクの内容や影響、推奨される対策をわかりやすく提示します。現在この機能は無効です。提供中の検出結果は決められた検査によるもので、根拠をモデルへ送ることはありません。
- 脆弱性のわかりやすい解説（予定・未提供）
- リスクの優先順位付け（予定・未提供）
- 具体的な修正方法の提案（予定・未提供）
- 診断結果の要約（予定・未提供）
- レポート作成支援（予定・未提供）
セキュリティ状況を、ひと目で把握。
デモ画面（サンプルデータ）。数値はサンプルであり、顧客サイトの診断結果ではありません。
セキュリティ概要
12
検出件数
3
診断対象
4
診断履歴
2
再診断待ち
| 検査 | 検出結果 | 重要度 | 対応状況 |
|---|---|---|---|
| HDR-002 | Content-Security-Policy がない | 中 | 未対応 |
| CK-002 | セッションCookieに HttpOnly がない | 中 | 未対応 |
| TLS-003 | 証明書が信頼されていない | 中 | 確認中 |
| LEAK-007 | デバッグコメントを観測 | 低 | 未対応 |
安全性と信頼性を重視した診断設計
診断は、許可された対象と、制御されたLIGHTプロファイルに限られます。このページは認証や適合の証明をうたっていません。
許可された対象のみを診断
ワンタイムトークンが確認されるまで、対象は未確認のままです。自動で確認されるのは開発用フィクスチャだけで、本番では使いません。
診断範囲の適切な制御
各診断は、スキーム、ホスト、ポート、パス、リクエスト頻度を固定します。接続の前に、リダイレクトとDNSの回答を再確認します。
根拠に基づく検出結果
検出結果は、検査がそれを観測した場合だけ保存します。未実施の検査は未実施のままです。合格にはしません。
人による確認と承認
対応状況は、自動判定とは別に管理します。モデルの出力だけで問題を確定することはありません。
さまざまなチームのセキュリティ対策を支援
開発チーム
次のリリースの前に、LIGHT診断が実際に観測したヘッダー、Cookie、情報漏えいの問題を確認できます。
セキュリティ担当者
診断の許可、範囲、根拠、監査履歴を、各診断に紐づけて残せます。
DevSecOpsチーム
何を検査し、何を未実施とし、何を検出したかをレポートとして出力できます。
企業のIT部門
ワークスペースを分けることで、他チームの診断対象やレポートは参照できません。
よくあるご質問
Kujira Securityとは何ですか？
Kujira Securityは、診断の許可を確認したうえでWebサイトを評価する製品です。現在利用できるのは、所有または診断を許可されたホストに対する読み取り専用のLIGHT診断です。
Webサイトの脆弱性診断はどのように実行されますか？
ホストの所有確認と診断範囲の承認のあと、スキャナーはGETとHEADでページを取得します。その観測結果に対して、決められた検査を実行します。フォームの送信や、攻撃用のエクスプロイト機能はありません。
セキュリティの専門知識がなくても利用できますか？
各検出結果には、検査名、観測した根拠、修正の手がかりが含まれます。検査で問題が見つからなくても、それはその検査で該当する問題がなかったことを意味します。サイト全体が安全である証明にはなりません。
どのWebサイトでも診断できますか？
できません。診断できるのは、所有を確認し、有効な許可があるホストだけです。プライベートアドレス、クラウドのメタデータ宛先、許可範囲外のホストは拒否します。
AIはどのように活用されていますか？
このビルドでは活用していません。AIアナリストは無効です。検出結果は決められた検査から作られ、診断の根拠をモデルへ送ることはありません。
診断レポートを出力できますか？
できます。完了した診断はJSON、HTML、PDFで出力できます。ファイルには実施した検査の範囲と、伏字にした根拠が含まれます。出力物は認証や適合の証明書ではありません。