オフェンシブセキュリティのチーム。 法人のみを対象に。
私たちは少人数で、案件を選び、意図して対象を絞ったチームです。法人のお客様に対してのみ、ペネトレーションテスト、レッドチーム、クラウド監査を行います。
攻撃者のやり方を知っています。 それを御社の側で使います。
市場に出回るセキュリティ報告書の多くは出来が良くありません。長く、通り一遍で、スキャナーの検出結果ばかりが並び、経営判断へつながる言葉になっていない。CISO を不安にさせ、取締役会には読み飛ばされます。
私たちは、そこを変えるために始めました。リスク委員会が理解できる成果物を、影響の大きい順に整理し、外部監査が受け入れる証跡を添えて渡す。同時に、エンジニアがどの一行を直せばよいか正確にわかる形で。
オフェンシブセキュリティとは先回りすることです。敵役を務めるのであれば、可能なかぎり厳密に、そして倫理的に。
私たちの仕事の流儀
[04 の約束]不安ではなく、明快さを
危機感を売りません。いま実際に悪用できるものは何か、悪用された場合の代償はいくらか、それを塞ぐ最短の道はどれか。その地図を正確に描いて渡します。
設計としての守秘
最初の顔合わせより前に NDA を締結。納品は暗号化された経路で行い、案件終了時に証跡付きで資料を破棄します。
監査できる手順
すべての案件が再現可能なパイプラインに沿って進みます。署名付きの証跡、算出した CVSS、記録された証拠保全の連鎖。
グレーゾーンのない倫理
正式な承認、文書化された範囲、署名された交戦規則。取締役会も監査人も認める規律で動きます。
沿革
[年表]- / 2018
創業
取締役会に伝わらないノイズだらけの報告書に嫌気がさした、シニアのペネトレーションテスターたちが立ち上げました。
- / 2020
レッドチーム
フルスコープの敵対的オペレーションを開始。最初の案件はフィンテックとヘルステックでした。
- / 2022
クラウド部門
独自スクリプトと CIS Benchmarks を用いた AWS・Azure・GCP 監査に特化。
- / 2024
200 案件
実施案件が 200 件に到達。法人顧客の満足度 99%、Basilisk に起因する本番障害はゼロ。
- / 2026
Volucer Group
Basilisk は Volucer Group のオフェンシブセキュリティ・ブランドとして体制を固め、専任チームで運営しています。
少数精鋭。 実力に裏づけられた資格。
最初のご連絡から納品までに起きること
次に何が来るのかを、お客様が推測する必要はありません。以下の流れはペネトレーションテスト、レッドチーム、クラウド監査で共通で、変わるのは各段階の深さだけです。
スコーピング面談
何があり、何を懸念していて、これまでに何を検証したのかを伺う打ち合わせです。終了時には範囲の提案書を文書でお渡しします。何を含み、何を含めないか、そしてその理由まで。範囲の切り方が甘いことは、テストが当初の問いに答えられない最も多い原因です。
合意と準備
秘密保持契約を締結し、交戦規則を取り決め、役割ごとに検証用アカウントを用意します。あわせて実施時間帯、双方の緊急連絡先、計画から外れた場合に実施を止める基準も決めておきます。
連絡経路を開いたままの実施
作業中は御社の技術担当と直通の連絡経路を保ちます。重大な発見は報告書を待ちません。その場でお伝えし、対処に必要な最小限の情報を添えます。障害や範囲の疑問は数時間で解消します。翌週の定例までは持ち越しません。
報告と読み合わせ
納品物は二通りの読み方ができます。優先順位と予算を決める方のための経営版と、手順を追って再現できる技術版です。結果はその場で説明します。対話のほうが、どんな文章よりも早く要点が伝わるからです。
是正と再テスト
是正の期間中もご質問にお答えします。難しいのは欠陥の理解ではなく、二つの直し方のどちらを選ぶかであることが少なくありません。その後、対処された項目を再検証し、最終状態を完了報告書に記録します。
報告書の書き方
報告書こそが成果物です。読まれない、あるいは再現できないなら、テスト全体の意味が失われます。そしてセキュリティの仕事の多くは、まさにそこで崩れます。
- 独立した二つの読み方
- 経営向けの部分は専門用語を使わず、数ページで収まります。何を検証し、どれがリスクで、何を判断すべきか。技術向けの部分はその後に、細部まで続きます。一方を読み通さなければもう一方にたどり着けない、という構成にはしません。
- 完全な再現手順
- 各指摘には、リクエスト・レスポンス・証跡を添えた手順を段階ごとに記載します。修正する人は追加の説明を必要とせず、テストを実施した人に頼らずに済みます。
- 点数より先に影響
- 技術的な評価値は記載しますが、それだけで結論は決めません。本文では、その欠陥が御社の状況で何を可能にするのかを説明します。同じ点数でも、システムが違えば意味が変わるからです。
- 手間まで含めた優先順位
- 推奨する順序には、深刻度だけでなく是正のコストも織り込みます。深刻度だけで並べた一覧は、たいてい最も高くつく項目から始まり、その後ろがすべて止まります。
仕事の進め方について
オフェンシブセキュリティは信頼で成り立つ仕事です。お客様は最も機微な資産へのアクセスを預けてくださいます。以下の約束はすべての案件に適用され、契約に明記されます。
案件で知り得たすべては、案件が存在するという事実も含めて秘密保持契約の対象です。書面の許可なく、いかなる資料も営業実績として使いません。
リスクを示すのに必要な最小限のデータだけを扱います。サンプルで同じことが示せるなら実データは取得せず、収集した資料は取り決めた期間の終了時に破棄します。
範囲外のものには、たとえ届きそうで魅力的に見えても手を出しません。外側で重要なものを見つけた場合は、判断していただくために報告します。こちらの判断で検証することはありません。
影響を示すために、実際に影響を起こす必要はありません。破壊的な操作、サービス停止、実データの改変は対象外です。明確な依頼と実施時間帯の合意がある場合を除きます。
ソーシャルエンジニアリングが範囲に含まれる場合、結果が測るのは対策と業務プロセスの有効性です。処分を目的として個人を特定する形にはしません。
推奨する製品を私たちが販売することはなく、推奨内容がベンダーによって変わることもありません。最善の解決策が当社の提供範囲外であれば、報告書にはそう書きます。
よくある質問
範囲のほうを合わせます。利用者の役割がいくつかある単一のアプリケーションなら、短く区切りやすい案件です。数十のシステムと複数のクラウドアカウントを抱える環境なら、規模はまったく別物になります。変わらないのは手法です。すべての指摘を人手で確認し、再現できる報告書にすることです。
アクセスの前に秘密保持契約を締結します。対象は案件の資料と、案件が存在するという事実の両方です。結果に言及してよいか、どう言及するかはお客様が決めます。書面の許可がなければ、実績として使うことはありません。
その日のうちにお伝えします。中止基準を開始前に決めておくのは、まさにこのためです。重大な発見は報告書を待ちませんし、状況によっては封じ込めが済むまで実施を止めます。
修正の進め方を助言し、その間もご相談に応じます。二つの選択肢の得失を一緒に検討することも含みます。実装は御社のチームまたは委託先が担ってください。検証した者が修正まで担うと、テストの価値が損なわれます。
対応します。大口の取引先からテストを求められ、形式と期限を指定されるのはよくあることです。その場合、報告書と完了報告書は、そのまま証跡として通用する形で作成します。読み替えは不要です。