展開から検証まで、一連のパイプラインで。
ファームウェアイメージの展開・静的解析・動的解析・PoC 検証・レポート出力を、一連のパイプラインとして構築しています。要所は人が確認しながら進めます。とりわけ PoC による発火の確認は人が実際に手を動かすため、確認できたものだけがレポートに載ります。
- 01イメージ展開
- 02静的解析
- 03動的解析
- 04PoC による発火確認
- 05レポート
ノイズではなく、結論を。
シグネチャ照合ではなく、リバースエンジニアリング
多くのスキャナは、既知の脆弱性パターンとの照合を中心に動きます。Assay はその先へ——ファームウェアをリバースエンジニアリングして内部の挙動を読み解き、脆弱性が成立する根本原因まで突き止めます。既知のパターンに載らない脆弱性に届きうるのは、このためです。
発火を確認したものだけ
PoC で実際に脆弱性がトリガーすることを確認できたものだけをレポートします。静的解析で危険な形が見つかっても、そこから実際に到達して動くことを確認できなければ載せません。
結果納品型
ツールの導入も解析環境の構築も要りません。解析対象をお預けいただければ、当社の検証環境で解析し、結果（レポート）をお返しします。
非同期・レポート主体
報告会や打ち合わせは行いません。レポートと文章でのやり取りで完結します。時間を、解析そのものに使います。
実際に、見つけている
自社研究として行っているファームウェア解析で未知の脆弱性を検出し、調整機関や開発元へ報告しています。責任ある開示（coordinated disclosure）のプロセスに沿った対応です。調整中の案件について、対象製品や内容を当社から公開することはありません。
ご依頼いただいた案件で発見した脆弱性を、当社の判断で外部へ報告・公表することはありません。
正当な権限のもとで、解析する。
ファームウェアを中心に、単体のバイナリも解析します。次のいずれかに当てはまる方からのご依頼をお受けしています。
製品を開発・提供する事業者
- 自社開発の IoT・組み込み機器を持つ開発元
- OEM/ODM・受託開発、モジュール・SDK の提供元
- 出荷前・アップデート前のセキュリティ検証をしたい方
- 事故・インシデントの原因究明をしたい方
- 脆弱性の「可能性」ではなく「実証」がほしい方
公的機関・研究機関
- 公的機関・法執行機関による、法令に基づく調査・技術検証
- 大学・公的研究機関による研究目的の解析（権利者の許諾が前提）
ご依頼は、(1) 依頼者ご自身が開発・販売する製品、(2) 権利者から解析の許諾を得ているもの、(3) 法令に基づく要請・手続によるもの のいずれかに限らせていただきます。いずれの場合も、その根拠のご提示をお願いしています。製品に含まれる第三者のコンポーネント（SoC ベンダ提供のバイナリ、商用ミドルウェア等）にライセンス上の制約がある場合と、ソースコードのみを対象とする場合（検出できる脆弱性の種類が限られます）は、事前にご相談ください。
β版として開発中。
Assay は現在 β版として開発を進めています。アーキテクチャは MIPS32（BE/LE）、ARM32、AArch64、x86、x86-64 に対応済みです。対応できる機器・アーキテクチャと、解析できる入力の種類を順次拡大しているところです。
現在は、スマートフォンアプリ（Android）やソースコードを含め、対象を広げていくことを目標としています。
β版の利用をご希望の方は、会社名・ご担当者名・メールアドレス（個人メールアドレス不可）を記載した書面を、本社所在地宛てにご郵送ください。お申し込み企業の確認のため、書面での受付としております。確認のうえ、メールにてご連絡いたします。ご連絡までに書面の到着から2〜3週間程度お時間をいただきます。確認の結果によってはご希望に沿えない場合があります。
ご興味のある方はお気軽にお問い合わせください。続報は netwatch.jp で公開します。
お預かりしたものと、見つけたもの。
お預かりしたものも、解析の過程で見つかる脆弱性も、依頼者の資産です。取り扱いの方針を先に示します。具体的な条件は個別の契約で定めます。
秘密保持
お預かりしたもの、解析結果、レポートの内容はいずれも秘密情報として扱います。秘密保持契約（NDA）の締結に応じます。
保管と破棄
お預かりしたものは、案件終了後にあらかじめ定めた期間内に破棄します。破棄の完了はご報告します。法令に基づく保全の必要がある場合は、保管期間を個別に定めます。
解析環境
解析は当社の検証環境で行います。解析対象を動作させる工程は、外部から遮断したネットワーク上で実行します。
第三者への開示
ご依頼案件で発見した脆弱性を、当社の判断で第三者へ報告・公表することはありません。外部への公表を行う場合は、依頼者の合意を前提とします。
再委託
解析作業を第三者へ再委託することはありません。
解析の範囲
本サービスは、脆弱性をすべて検出することを保証するものではありません。
本ページは、開発中のサービス「Assay（β版）」に関する情報を提供するものです。記載している機能・解析工程・特徴などは開発段階のものであり、実際に提供されるサービスの内容とは異なる場合があります。これらの内容は予告なく変更または中止されることがあります。本ページに掲載する情報の正確性・完全性・最新性を保証するものではなく、本ページの情報に基づいて行われた判断・行為について、当社は責任を負いかねます。また、本サービスは解析対象に存在する脆弱性をすべて検出することを保証するものではありません。