攻撃者より先に、コードの脆弱性を見つける。
コードベース、認証、依存関係、クラウド設定を攻撃者の視点でレビューし、平易な言葉で深刻度順に報告します。ご希望なら修正まで含めて対応します。
得られるもの
- 対象範囲ソース、認証、サプライチェーン、クラウド設定
- レポート平易な言葉、深刻度順
- 手法手動レビュー＋自動スキャン
- 修正修正を実施し、再検証まで
- 機密保持NDA と読み取り専用アクセス
心当たりはありませんか？
リリース直前なのに、セキュリティの観点でコードを見た人が誰もいない
エンタープライズ顧客からセキュリティ質問票が届いたが、どう答えればいいか分からない
投資家のデューデリジェンスが進行中で、「たぶん大丈夫」では通らない
本番環境で妙なことが起きたが、攻撃だったのかどうか確信が持てない
APIキーやシークレットがリポジトリのどこかにあるが、正確な場所が分からない
コードは急いで書かれた——外注、AIツール、あるいは深夜2時の自分——そして一度もレビューされていない
確認する内容
- 01
コードベースのセキュリティレビュー
攻撃経路から逆算したリスク優先のレビュー：入力処理、インジェクションと XSS、漏れたシークレット、バリデーションの抜け、OWASP Top 10——オンチェーンコードは Solidity 相当箇所も含めて確認します。
- 02
認証・アクセス制御レビュー
セッションとトークンのライフサイクル、サーバー側でのロール強制、テナント分離——ある顧客のデータが別の顧客に決して漏れないことを検証します。
- 03
依存関係・インフラレビュー
サードパーティパッケージ、コンテナイメージ、Kubernetes とクラウド設定、IAM 権限、CI でのシークレット管理——バージョン番号の羅列ではなく、悪用経路にひも付けて整理します。
- 04
修正と堅牢化
チームとの共同または私たち単独で修正を実施し、再発防止のガードレールを追加します。再確認ログはエンタープライズ顧客や投資家への証拠としてそのまま渡せます。
進め方
- 01
初回相談
何を出そうとしているか、何が控えているか——リリース、資金調達、エンタープライズ契約——何が不安かを教えてください。契約義務はありません。
- 02
スコープと提案
対象範囲——リポジトリ、サービス、クラウドアカウント——を合意し、一行も読む前に固定価格を提示します。
- 03
監査とレポート
手動レビューとツールを組み合わせ、平易な言葉のレポートをお渡しします。各指摘に深刻度、場所、修正方法を記載します。
- 04
修正と再確認
指摘事項を私たちが修正するか、チームの修正に伴走し、一つひとつ本当に閉じたことを検証します。
使用する技術
- TypeScript
- Node.js
- Python
- .NET
- Solidity
- Docker
- Kubernetes
- AWS