すべての記事

セキュリティ

モバイルアプリのセキュリティテストにおけるOstorlabとMobSF（Mobile Security Framework）の比較です。静的解析と動的解析、端末の要件、エクスプロイトによる実証、認証付きテスト、連携、デプロイ、コストを...

セキュリティ

モバイルアプリのセキュリティテストにおけるOstorlabとOversecuredを、iOSとAndroidのカバレッジ、エクスプロイトによる実証、認証付きテスト、API、連携、デプロイ形態、価格の観点で比較します。比較表、代替ツール...

製品

2026年におけるSnyk Code、Checkmarx One、GitHub Advanced SecurityのSAST代替ツールと、対応言語、開発者ワークフロー、誤検知、エクスプロイトによる実証、ロジックバグ、デプロイ形態、価格...

製品

バグチケットをプルリクエストに変える小さなエージェントが、どのようにしてOstorlabのチケットエージェントになったのか。仕事、モデル、実行ルールを与えるだけで動くAIのチームメイトを紹介します。

エンジニアリング

誤検知は、スキャナーの品質だけの問題ではなく、エンジニアリングのキャパシティの問題です。そのコストを計測し、実証エクスプロイトテストのROIを評価する方法を学びましょう。

製品

Ostorlabは、つながり合うモバイル、Web、API、コードのアセットをリリースごとにテストするチームに適しています。適する場面、選ぶべきプラン、他のツールの方が適するケースを解説します。

セキュリティ

Ostorlabとペンテスト会社を、コスト、テスト頻度、深さ、修復の観点で比較し、AIペンテスト、コンサルタント、またはその両方をいつ使うべきかを解説します。

セキュリティ

APIだけを対象とするスキャナーは、モバイルアプリ、Webバンドル、コード内のシークレットやルートから始まる攻撃チェーンを見逃します。実際の2つのチェーンと8ステップのテストチェックリストを紹介します。

セキュリティ

SOC 2向けのペンテストについて、Ostorlab、XBOW、Aikido、Intruder、Escape、Pentiを、エクスプロイトのエビデンス、人間によるレビュー、サンプルレポート、再テスト、価格の観点で比較します。

セキュリティ

2026年の手動アプリペンテストの費用は$3,000〜$50,000+、公開されているAIペンテストは$499〜約$8,000です。価格を左右する要素、見積もりの除外項目、比較方法を解説します。

セキュリティ

手動テスト向けのApktool、JADX、Ghidra、Frida、Objection、LLDBを、OstorlabによるAndroid・iOSのモバイルシールディングおよびRASPの自動評価と比較します。

製品

OstorlabのDeep Agentic Scanが、Web、モバイル、ソースコードにまたがる複雑な脆弱性をどのように発見し、実際に実行して実証するのかを、4つの実例で解説します。

セキュリティ

静的解析はバグの可能性を指摘できても、それを実証することはできません。実行時検証によって、Langflowの認証済みRCEを実証し、libxml2の解放後使用について報告されていたトリガー条件を修正しました。

セキュリティ

OstorlabのAgentic Deep Scanが、重大度「中」のOpenAPI仕様の露出とSSRFの脆弱性を連鎖させ、ループバック制限をバイパスしてデータベースの認証情報を抽出した過程を紹介します。

セキュリティ

2026年のおすすめAPIセキュリティテストツールとして、StackHawk、42Crunch、Escape、OstorlabをDAST、BOLA/BFLAテスト、APIディスカバリー、CI/CDの観点で比較します。

セキュリティ

承認済みのAPI評価の最中にAIエージェントがテストスコープの外へ逸脱したインシデントについて、その経緯と原因、そして当社が自律型エージェントをどのように封じ込めているかを解説する技術的なポストモーテムです。

セキュリティ

B2B SaaSスタートアップが、コンサルティング会社による4週間の待ち時間を回避し、監査対応のSOC 2ペンテストレポートと証明書（Letter of Attestation）を数週間ではなく数日で入手する方法を解説します。

製品

オンプレミスでのAppSecテストについて、Ostorlab、Invicti、Burp Suite DAST、HCL AppScan、Fortifyを、デプロイモデル、データ管理、プライベートな対象へのアクセスの観点で比較します。

セキュリティ

Ostorlab NeutronはCyberGymで検証済みエクスプロイト解決率96.7%を達成し、ベンチマークの脆弱性再現タスク1,507件のうち1,458件で実際に動作する差分概念実証を生成しました。

製品

Ostorlab、Defender EASM、Cortex Xpanse、CyCognitoなど7つの外部アタックサーフェス管理プラットフォームを、アセット検出、検証、修復の観点から比較します。

製品

Ostorlab、Burp Suite DAST、Invicti、InsightAppSec、AppScan、XBOW、OWASP ZAPを比較し、DASTで十分な場合とエージェント型ペンテストが必要な場合を解説します。

製品

Android・iOSアプリのベッティングについて、Ostorlab、NowSecure、Quokka、Zimperium、Appknox、Data Theoremを運用モデル、リスクスコアリング、監視の観点から比較します。

製品

2026年の主要なAIペンテストプラットフォームを、アセットのカバレッジ、自律的な悪用、攻撃チェーン、エビデンス、コンプライアンス、デプロイ形態の観点で比較します。

セキュリティ

従来型ペンテスト、PTaaS、自律型AIテストを比較します。エージェントがカバレッジとエビデンスで勝る領域、人間が依然として主導する領域、そしてそれらを組み合わせる方法を解説します。

製品

Multi-Asset Deep Agentic Scanは、関連するモバイル・Web・API・ネットワーク・ソースコード・ドキュメントのアセットを、つながった一つのエージェント型調査で評価します。

セキュリティ

検知と強制は別々のセキュリティ特性です。4つの商用シールディング製品で保護された本番環境の銀行アプリ5本を調べたところ、検知は高度でしたが、強制は脆弱でした。

セキュリティ

ペネトレーションテストとは何か、2026年のスタートアップにとっての費用、5つのステップからなるテストのプロセス、そして自社の技術スタックに合ったベンダーの選び方を解説する包括的なガイドです。

製品

OstorlabがMCPに対応しました。AIアシスタントやエージェントが、権限で制御された形でセキュリティデータとワークフローにアクセスできます。

製品

Agentic Deep ScanにRisk Rerunsが登場しました。アセットの再アップロードや最初からのやり直しなしに、エフォートレベル、AIモデル、パラメーターをカスタマイズして特定のリスク調査を再実行できます。

セキュリティ

AIは数秒で説得力のあるエクスプロイトのストーリーを作り出せます。そのストーリーがセキュリティチームの信頼できる検出結果になるかどうかは、実行時の実証、ネガティブコントロール、そして人間によるレビューが決めます。

セキュリティ

SOC 2は必須のテスト手法を指定していないため、監査人が評価するのはツールではなくエビデンスです。AIが実施したペネトレーションテストがSOC 2 Type II監査を満たすために実際に必要なものを解説します。

製品

Agentic Scan Knowledgeは、Ostorlabのセキュリティエージェントに永続的なアプリケーションコンテキストを与え、すべてのスキャンがゼロから始め直すのではなく、過去のテストの上に積み重ねられるようにします。

製品

Ostorlab Mobile Shielding Scanは、root検知、改ざん防止、証明書ピンニング、難読化など、AndroidとiOSの保護機能を実際のバイパス手法に対してテストします。

製品

自社のローカルインフラ内に潜むセキュリティ上の欠陥を特定し、そのコンテキストを明らかにするために設計された、Ostorlabオンプレミス脆弱性スキャナーの一般提供開始を発表します。

セキュリティ

SAST、WebとAPIのペンテスト、モバイルバイナリのテスト、クラウドの態勢管理、BYOK、修復の観点でOstorlabとAikidoを比較します。比較表とFAQ付きです。

セキュリティ

Appknoxの「Top 10 MAST Tools」リストにOstorlabが回答します。誤っていた点、KnoxIQとAgentic Deep Scanの違い、フルスタックのカバレッジ、デプロイと価格について解説します。

セキュリティ

XBOWとOstorlabを、対象範囲の設定、モバイルとAPIのカバレッジ、アセットをまたいだエクスプロイトチェーン、CI/CDテスト、エビデンス、修復ワークフローの観点で比較します。

セキュリティ

Ostorlab対NowSecureを6つの領域で比較します。コストとスケール、CI/CD連携、ビジネスロジックのカバレッジ、フレームワークのサポート、対象を絞ったスキャン、地域制限アプリです。

セキュリティ

2026年のおすすめSASTおよびソースコードスキャンツールであるOstorlab、GitHub Code Security（CodeQL）、Semgrep、Snyk Code、Checkmarx One、SonarQube、Vera...

製品

Ostorlab Threat CenterはNVDのデータに加えてEUVDのインテリジェンスも提供するようになり、EUサイバーレジリエンス法への準備を進めるセキュリティチームに、より広範な脆弱性の可視性をもたらします。

セキュリティ

構造化された出力、検証ゲート、制御された実行を通じて、スコープを限定したエビデンスをレビュー可能な検出結果へと変える、AI支援型セキュリティテストのワークフロー設計に関する実践ガイドです。

エンジニアリング

AIを活用したスキャンとAIペンテストを分けるものは何か、そしてOstorlab Deep Agentic Scanがエビデンスをたどって実際の攻撃経路をどのように検証するのかを解説します。

エンジニアリング

ソースコードセキュリティテストの仕組み、従来のSASTが誤検知を生む理由、そしてエージェント型分析がスキャナーのシグナルをすぐ対応に着手できる検出結果へと変える方法を解説します。

セキュリティ

GoPhish最新版が信頼をどのように扱っているか（アイデンティティ、信頼できないコンテンツ、オブジェクトの所有権、認証情報のライフサイクル、外向きリクエスト）を検証した技術評価です。Ostorlab Agentic Deep Sca...

セキュリティ

モバイルDASTにおけるOstorlabとQuokka Q-mastの比較：認証済みフロー、TLSピンニングのバイパス、PCAPによるエビデンス、地域限定アプリ、APIスキャン、Agentic Deep Scan。

製品

Source Code Scanningは、セキュリティ脆弱性が本番環境に到達する前に、ソースコードの段階で直接特定できるようにします。リポジトリを接続し、必要なときにスキャンを実行して、対応すべき検出結果をOstorlab上で確認できます。

製品

Deep Agentic Scanの最新リリースでは、より高速なモバイルテスト、改善されたリバースエンジニアリング、強化された脆弱性検出、過去のスキャン処理によるインクリメンタルなカバレッジ、改善された脆弱性チェーン、そしてモバイルと...

製品

Ostorlabは、シールディングの検出と検証に特化して設計された、自動化されたAIによるテストソリューションMobile Shielding Scanをリリースしました。これにより、セキュリティチームはiOSとAndroidの重要な...

エンジニアリング

エージェント型ハーネスは、モバイルアプリのセキュリティテストにおいて大規模言語モデル（LLM）にできることを変えます。モデル単体でも、安全でないストレージ、露出したシークレット、リスクのある権限、脆弱なSDK、バックエンドの問題、プラ...

製品

Ostorlabは、Agentic Deep Scan向けのマネージド型・前払い制のAIインフラストラクチャ層であるCyber Modelsを提供開始しました。セキュリティチームは、承認されたプロバイダーチャネルを通じて、GPT-5....

セキュリティ

今日、大規模なサイバーセキュリティカンファレンスの会場を歩けば、AIを活用した自律型プラットフォームの可能性について耳にします。しかし、AIだけに頼るテストはスケールしません。レジリエントなAppSecプログラムには、高速な従来型スキ...

セキュリティ

本ガイドでは、業務上の摩擦を生むことなく企業のデータ資産を保護するエンタープライズ向けモバイルアプリベッティング戦略を構築するために必要な、アーキテクチャ、リスク評価手法、導入フレームワークを包括的に解説します。

製品

Ostorlabは、Android・iOSアプリを承認前に評価できるモバイルアプリのリスク評価ソリューション、App Vettingをリリースしました。静的解析、動的テスト、安全なサンドボックス実行に、継続的な監視、重み付けされたリス...

エンジニアリング

当社はAIによるプルリクエストレビュアーを構築しましたが、ハルシネーションと誤検知によって開発者の信頼が損なわれたため運用を停止し、より優れたモデル、より広いコンテキスト、より慎重なエージェントアーキテクチャで再構築しました。本記事で...

製品

Ostorlabは、強力で高度にターゲットを絞ったAIオーケストレーションエンジンをリリースします。このエンジンは、Single Vulnerability Assessment（SVA）とDig Deeperという2つの異なるUIワ...

セキュリティ

DirtyFragの技術解説です。これは2つのLinuxカーネルのローカル権限昇格の脆弱性（CVE-2026-43284およびCVE-2026-43500、CVSS 7.8 HIGH）であり、権限を持たないあらゆるローカルユーザーが主...

セキュリティ

OpenClaw（< 2026.4.15）に存在するCVSS 9.2のクリティカルな認証バイパス脆弱性CVE-2026-44109の技術的解説です。Feishu/Larkプラグインにある2つのフェイルオープンのロジック反転、すなわちW...

セキュリティ

Chatwootのアップロードエンドポイント（≤ v4.12.1）に存在するクリティカルなサーバーサイドリクエストフォージェリ（SSRF）脆弱性の詳細解説。/api/v1/accounts/:id/uploadエンドポイントはexte...

セキュリティ

DORAコンプライアンスチェックリストは、銀行・フィンテック組織がICTリスク、インシデント対応、レジリエンステスト、サードパーティのガバナンス、監督といった主要領域にわたってオペレーショナル・レジリエンスを評価し、実装の進捗を追跡し...

セキュリティ

懐中電灯アプリを装ったBeatBanker/BTMOB系Androidバンキングマルウェア、TV_V_23.apkの静的解析です。4段階の攻撃チェーン、解析妨害、帰属、IOCを解説します。

セキュリティ

HarmonyOS NextのセキュリティテストがAndroidとどう異なるか。ArkTS、DSoftBus、テストツール、SafetyDetect、ArkGuard、よくある不備、そしてOWASP MASVSへのマッピングを解説します。

セキュリティ

インテントリダイレクションによって攻撃者が非エクスポートのAndroidコンポーネントに到達し、setResult()経由でデータを漏えいさせ、PendingIntentを悪用する仕組みと、それを防ぐ6つの方法を解説します。

製品

HarmonyOSアプリとHuawei AppGalleryのリリースに対応する脆弱性スキャナー：Ostorlabは自動化された再現性のあるセキュリティスキャンを追加し、チームがHuaweiで配信されるモバイルアプリを継続的に評価し、...

セキュリティ

モバイルゲームのセキュリティテストは、クライアント、ネットワーク、バックエンドの各レイヤーを保護することで、チート、ハッキング、収益の損失を防ぎます。本ガイドでは、ゲームの安全性、公平性、コンプライアンスを維持したいモバイルセキュリテ...

セキュリティ

iOSとAndroidのアプリを高速にリリースするチームのためのモバイルAppSecテスト。MAST、SAST、DASTの違い、テストチェックリスト、CI/CDのパターン、重大度に基づくリリースゲートを解説します。

セキュリティ

患者ポータル、医療アプリ、API、SaMDのセキュリティテスト方法を解説します。ePHIのリスク、HIPAAとGDPRの義務、SDLCでのテスト、継続的な監視、インシデント対応まで。

セキュリティ

モバイルバンキングアプリを守るには、クライアントを保護するだけでは不十分です。本ガイドでは、端末、ネットワーク、バックエンドシステムにまたがるリスクを整理し、金融データと取引を守るために継続的なモバイルセキュリティテストが不可欠である...

セキュリティ

CVE-2026-26720の技術的解説です。これはTwenty CRM（≤ v1.15.0）に存在するCVSS 9.8のクリティカルな認証済みリモートコード実行の脆弱性です。任意のワークスペースメンバーが、サンドボックス化されずに実...

セキュリティ

リリースごとのSDKインベントリと差分、承認・禁止ルール、パッチSLA、監査対応のエビデンスパックを用いて、モバイルアプリにおけるDORAのサードパーティリスクを管理します。

セキュリティ

モバイルアプリケーションシールディングは、リバースエンジニアリング、改ざん、デバッグ、機密データへの不正アクセスを防ぎ、信頼できない端末上のアプリを保護します。端末が侵害されていても、重要なアプリロジック、機密情報、トランザクションを...

セキュリティ

ソースコードレビューの過程でRoundcube Webmail（< 1.6.14、1.5.14、1.7 RC4）に見つかった2件のクリティカルな脆弱性を詳しく解説します。OVE-2026-8は、CRLFのサニタイズ漏れにより、認証済み...

製品

OstorlabがHarness CIと連携し、CIパイプライン内で自動化されたモバイルアプリケーションのセキュリティスキャンを実行できるようになりました。Harness SecretsとシンプルなRunステップを使って、チームはOs...

セキュリティ

Qwik（< 1.19.1）に存在するCVSS 9.2のクリティカルな認証不要リモートコード実行脆弱性、CVE-2026-27971の技術的解説です。server$ RPCフローにおける安全でないデシリアライゼーションにより、攻撃者が...

製品

スキャナーがログインページで止まってしまう理由と、OstorlabがSMS、メール、TOTPによる2FAの向こう側のテストを、手動フォールバックと安全に保護された認証情報とともに自動化する方法を解説します。

製品

OstorlabがBitriseと連携し、CIワークフロー内で自動化されたモバイルアプリケーションのセキュリティスキャンを実行できるようになりました。Bitrise SecretとシンプルなScriptステップを使って、チームはOst...

セキュリティ

BFSIチーム向けに、DORAコンプライアンスをモバイルの視点から解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を紹介します。

製品

Ostorlabは、iOS、Android（近日中にharmonyOSにも対応）、Webアプリケーションにおける現実のリスクを検証する次世代の脆弱性スキャナー、Agentic Deep Scanをリリースしました。Bring Your...

セキュリティ

CVE-2025-68461（CVSS 7.2）は、名前空間プレフィックスを用いることでSVGのanimateタグをRoundcubeのサニタイザーに通してしまう脆弱性です。PoC、パッチ解析、Nucleiによる検出、緩和策を解説します。

セキュリティ

GHSA-cr3w-cw5w-h3fj（Saltcorn ≤ 1.5.0-beta.19に存在するCVSS 9.7のクリティカルなXSSからRCEへの脆弱性）の分析。ルートパラメーターの反射型XSSとバックアップ生成時のコマンドインジ...

セキュリティ

BFSIチーム向けに、DORA規制とDORAコンプライアンスをモバイルの視点から解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を紹介します。

セキュリティ

LangChain CommunityのJavaScriptパッケージ（< 1.1.14）に存在する、CVSS 4.1（中）のサーバーサイドリクエストフォージェリ脆弱性CVE-2026-26019の技術的解説です。RecursiveU...

セキュリティ

BFSIチーム向けに、DORA規制とDORAコンプライアンスをモバイルファーストで解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を学べます。

セキュリティ

当社チームがモバイルアプリのペンテストで使用している10のツールを、Frida、Ghidra、Jadxからmitmproxy、Nucleiまで、それぞれの最適な用途、強み、限界とあわせて紹介します。

セキュリティ

Unstructured Pythonライブラリ（< 0.18.18）に存在する、CVSS 9.8（クリティカル）のパストラバーサルによるリモートコード実行脆弱性CVE-2025-64712の技術的解説です。Outlook MSG処理...

セキュリティ

CVSS 9.8のクリティカルな認証不要のリモートコード実行脆弱性であるCVE-2026-1357の技術解説です。WPvivid Backup & Migrationプラグイン（≤ 0.9.123）に存在し、暗号処理のフェイルオープン...

セキュリティ

PentestGPT、PentAGI、HexStrike AI、Strix、CAI、Nebula、NeuroSploit、Deadend CLI、RedAmonを比較し、各AIペンテストエージェントの主な機能、GitHubのスター数、...

製品

2025年は、サイバーセキュリティにおけるAIが実験的なプロトタイプから本番レベルのエンジンへと移行した転換点でした。この振り返りでは、OstorlabのAI Pentest EngineとAI Monkey Testerが、Sign...

セキュリティ

2026年から、認定Android端末では未認証のデベロッパーによるアプリをブロックできるようになります。サイドローディングで何が変わるのか、誰が影響を受けるのか、そしてGoogleがどう対応しているのかを解説します。

セキュリティ

AI支援型の解析により、glibcの_nss_dns_getnetbyaddr_r関数に30年前から存在する未初期化バッファの脆弱性が明らかになりました。本事例研究では、ゼロ入力というエッジケースがループのロジックをすり抜け、ライブラ...

セキュリティ

ケーススタディ：OstorlabのAIペンテストエンジンが、ディープリンク経由で到達可能なAndroid WebViewのJavaScriptブリッジを発見し、それをネイティブUIの操作へと連鎖させます。

製品

Ostorlab、NowSecure、Appknox、Data Theorem、Quokka、Zimperium、MobSFをAndroidとiOSの観点で比較し、機能マトリクスとベンダーへの価値実証（PoV）の質問を紹介します。

セキュリティ

AndroidのFLAG_SECUREがスクリーンショット、画面録画、最近使ったアプリのプレビューをどのようにブロックするかを、コード例、ユースケース、制限事項、キャスト時の挙動とともに解説します。

セキュリティ

OstorlabのAIペンテストエンジンは、GraphQL WebSocketエンドポイントにおいて、リアルタイム翻訳サービスへの認証なしのアクセスを許す、クリティカルな関数レベルの認可の不備（BFLA）脆弱性を体系的に発見しました。...

セキュリティ

体系的な分析が闇雲なファジングに勝る実例として、OstorlabのAIエンジンがバージョンをまたぐパスワードリセットの弱点を発見し、メールにアクセスすることなくアカウント乗っ取りを実現しました。

セキュリティ

最新のSPAで二次的なクライアントサイドのデータ持ち出しチェーンがどのように発見されたかを解説します。JavaScriptの解析とエクスプロイトチェーンの検証を通じて、単純なオープンリダイレクトが多段階のデータ窃取の脆弱性へと変わりました。

セキュリティ

Ostorlabの推論駆動型AIエンジンは、ルールベースの限界を突破し、これまで未知で検出が難しかった脆弱性を表面化させます。WebViewのSafe Browsingバイパス、プロジェクション経由のSQLi、WebCrypto鍵の窃...

セキュリティ

実際のCVEやバグバウンティの検出結果を反映した、93個の現実的な脆弱モバイルアプリを備えた初のオープンソースベンチマークスイートです。理論的な教科書の例ではありません。

セキュリティ

上位500以上のモバイルバンキングアプリを対象とした大規模なセキュリティ分析により、広範な脆弱性、10年前のコードベース、懸念すべきバックエンド集中のパターンが明らかになりました。

セキュリティ

精密さはペイロードの乱れ打ちに勝ります。OstorlabのAIエンジンを用いてTitilerへのRCEを体系的に成立させ、スタックトレースを一度も用いずにデータ持ち出しを実証します。

セキュリティ

本記事では、OstorlabのAIペンテストエンジンが、インテントリダイレクション脆弱性についてAndroidアプリケーションを分析するプロセスを紹介します。静的解析と初期の検出結果から厳密な動的検証までのエンジンの道のりを追い、潜在...

セキュリティ

HackerOneのモバイルアプリで発見された、Pub/Subへの過剰な権限を持つハードコードされたGCPサービスアカウントについて、実践的な詳細分析と実際の悪用を紹介します。認証と権限の列挙から、エンドツーエンドのメッセージ注入・傍...

セキュリティ

本技術分析では、パストラバーサル、シンボリックリンクの操作、Android SDKの癖を組み合わせた高度な攻撃チェックが、定評のある暗号化を無傷に保ったままSignal Androidの防御を突破し、機密性の高い内部ファイルを抽出し得...

セキュリティ

本記事では、Report PortalにおけるOOB XXE脆弱性CVE-2021-29620を悪用するための、徹底した実践的分析と概念実証（PoC）を紹介します。OstorlabのAIによるペンテストエンジンが、そのサイクル全体をど...

製品

OstorlabのAI Monkey Testerは、自然言語プロンプトと生成AIを使ってインテリジェントでコンテキストを認識したテストシナリオを自動生成することでモバイルアプリのセキュリティテストを一変させ、従来のルールベースのテス...

セキュリティ

本記事では、Zulipに存在するストアドXSS脆弱性CVE-2025-52559を悪用するための、徹底的かつ実践的な分析と概念実証（PoC）を紹介します。OstorlabのAIを活用したペンテストエンジンがその全サイクルをどのように自...

製品

OstorlabのPrivacy Scanは、アプリのプライバシーポリシーの記載内容と、アプリが実際に行っていることとの食い違いを自動的に検出します。ポリシーの文面、権限、コード、UI要素を包括的に分析することで、モバイル開発者がコン...

製品

Ostorlab Security ScannerのGitHub連携は、自動化されたセキュリティをCI/CDパイプラインに直接組み込むことで、モバイルアプリ開発のワークフローを強化します。コードがプッシュされるたびにモバイルアプリケー...

製品

本稿では、OstorlabとVantaの新しい連携を発表し、その仕組みを説明し、セットアップの手順を概説し、セキュリティチームとコンプライアンスチームにとっての主な利点を紹介します。

セキュリティ

本研究では、シグネチャベースのマッチング（DalvikFLIRT）とLLMによるコード変換を組み合わせた先駆的な二重のアプローチを紹介します。高度なAndroidアプリの難読化を回避し、これまで解読できなかったコードの自動セキュリティ...

製品

Ostorlab Copilotの実装に至るまでの当社の歩み、直面した課題、そしてその過程で得た教訓を紹介します。

製品

本記事では、Ostorlabの脆弱性チケットシステムV2と、自動化されたチケット作成、ライフサイクル管理、ポリシーの適用、既存ツールとの連携といった機能を通じて、セキュリティ脆弱性の管理と修復のプロセス全体をどのように自動化・効率化す...

製品

本記事では、AIで自動化するアタックサーフェス管理について、サイバーセキュリティへの影響と、アセットの検出や脆弱性の検出をどのように自動化するのかを解説します。

セキュリティ

CyberPanelに存在する認証前root RCE脆弱性の技術分析。確認済みのエクスプロイト経路、調査対象のコンポーネント、研究手法から得られた知見を含みます。

セキュリティ

本記事では、最もよくあるGraphQLの脆弱性について、それが発生する理由と緩和方法を詳しく解説します。

セキュリティ

本記事では、連鎖させることで認証なしのリモートコード実行（RCE）を実現できる、CUPS印刷サービスに影響する複数のCVEへのシステムの大規模な露出を評価します。CVE-2024-47176を含むこれらの脆弱性がどのように連携するかの...

エンジニアリング

Threat Centerは、組織がセキュリティ上の脅威について常に把握するための不可欠なアップデートを提供し、実行可能なインテリジェンスと詳細なアセット情報を通じて、ユーザーが自社のシステムを先回りして保護するのを支援します。

セキュリティ

WordPress向けLiteSpeed Cacheプラグインに影響するCVE-2024-47374の脆弱性について、その影響と、当社の検出手法の技術的な解説を交えて詳しく見ていきます。

セキュリティ

活発に悪用されているOracle ADFのデシリアライゼーションの欠陥であるCVE-2022-21445が、認証されていない攻撃者にリモートコード実行を許す仕組みと、OXOを使った検出方法を解説します。

セキュリティ

VigorConnectに存在し、攻撃者が機密ファイルにアクセスできてしまう任意ファイル読み取りの脆弱性を明らかにします。この問題は、ファイル処理メソッドにおける不適切な入力検証に起因しています。

エンジニアリング

OXO Titan UIは、OXOの機能を使いやすいインターフェースに集約し、高度なセキュリティスキャン技術を誰もが利用できるようにします。本記事では、OXO Titanが構想から実現に至るまでの道のりをたどり、主な機能を紹介するとと...

セキュリティ

ホストヘッダーやプロキシヘッダー、HTTPメソッド、パラメーター、URLパスの変更、あるいはWayback Machineで古いファイルを確認することによって、403 Forbiddenレスポンスを回避します。

製品

Ostorlabのモバイル脆弱性スキャナーに、AIを活用したMonkey Testerが加わりました。テストのカバレッジと速度を大幅に向上させ、より包括的で効率的なテストを実現します。

セキュリティ

CVE-2024-5315は、実際に悪用されているDolibarrのSQLインジェクションで、修正済みバージョンが誤って伝えられていました。

セキュリティ

E.V.A Information SecurityがCocoaPodsに重大な脆弱性を発見し、ただちにパッチが適用されました。開発者は今後、所有者のいないパッケージを削除し、依存関係を検証し、アプリをスキャンしてセキュリティを確保す...

エンジニアリング

OXOバージョン1.0は10倍高速になり、ARM64アーキテクチャに対応したほか、複数アセットのスキャンや、よりシンプルで強力なCLIなど、強化された機能を数多く備えています。

エンジニアリング

本記事は、Appleのエコシステムにおけるプライバシーマニフェストファイルのガイドです。特に間近に迫った2024年の義務化を背景に、透明性とコンプライアンスにおける重要性を強調し、実装手順を示すとともに、ユーザーの信頼醸成と規制順守を...

エンジニアリング

JavaScriptのProxyオブジェクトを使ってPostMessageクロスサイトスクリプティング（XSS）脆弱性を検出し、従来の動的ファジング手法を強化する新たな方法を紹介します。

セキュリティ

Ostorlabの既知の悪用された脆弱性カタログに新たに追加された脆弱性

製品

本稿では、モバイルアプリケーションを検出し継続的に監視するためのソリューションとしてOstorlab Attack Surface Discoveryを紹介し、セキュリティチームの手作業の負担を軽減します。アプリケーションをインベント...

セキュリティ

北米のモバイルバンキングアプリのセキュリティを調査し、広範に存在する脆弱性と、サイバーセキュリティ対策を強化する差し迫った必要性を明らかにします。この分野における急速な技術の進歩とともに、サプライチェーンの脆弱性や、安全でない可能性の...

エンジニアリング

Swiftの動的計装に関する記事です。名前マングリング、Swift ABI、Swiftにおける関数引数の抽出を取り上げ、Swiftベースのアプリケーションの動的解析を行う手順を解説します。

セキュリティ

Ostorlabの既知の悪用された脆弱性カタログに新たな脆弱性を追加

セキュリティ

Ostorlabの既知の悪用された脆弱性カタログに新たな脆弱性を追加

セキュリティ

依存関係の混乱（Dependency Confusion）の脆弱性を掘り下げ、新たな検出・悪用手法を紹介したうえで、この脆弱性に伴うリスクを緩和するための具体的な手順を示します。

セキュリティ

本記事では、CISA KEV、GoogleのTsunami、そして革新的なOstorlabのAsteroidプロジェクトといった信頼できるプラットフォームから収集した、クリティカルかつ重大度の高い、現に悪用されている脆弱性を特定するた...

製品

2023年が終わりを迎えた今、この一年を振り返り、希望に満ちた2024年に向けて準備を整えるときです。

セキュリティ

改善点や更新内容、策定の舞台裏とともに、新しいOWASP Mobile Top 10のリリースを紹介します。

製品

OstorlabはSwiss Cyber defense Security Challengeで首位を獲得し、アプリケーションセキュリティ自動化の推進に向けた取り組みを示しました。

セキュリティ

悪意のあるアプリがカスタムURLスキームをハイジャックしてOAuthアカウントを乗っ取る手口を、Google、Facebook、Cognito、Oktaでのエクスプロイト例と、AndroidおよびiOS向けの修正方法とともに解説します。

セキュリティ

最近の詳細な調査により、FlutterとSwiftで広く使われているZIPパッケージに深刻な脆弱性が見つかり、数千の開発者とアプリケーションに重大なセキュリティリスクをもたらしています。本記事では、これらの脆弱性の技術的な側面を掘り下...

セキュリティ

Ostorlabは、テストと教育を目的として意図的に脆弱に作られた2つのFlutterアプリをオープンソースとして公開しました。iOSネイティブのアプリとJava/C++/Flutterアプリの2つで、モバイルアプリによくあるさまざま...

セキュリティ

本記事は技術的な詳細解説であり、1億以上インストールされた画像アプリがどのようにユーザーの画像を露出させ、SQLインジェクションやインテントリダイレクトから任意のファイルダウンロードに至るまで、リモートから悪用可能な脆弱性を抱え得るかを示します。

製品

今回のリリースでは、推奨事項を改善する新しいAIエンジン、Flutter検出の強力な新機能、その他多くの改善が加わりました。

セキュリティ

本記事では、モバイル生体認証の安全な実装を定義し、主要なモダンモバイル言語3つ、すなわちAndroid向けのKotlin、iOS向けのSwift、Flutterマルチプラットフォームアプリケーション向けのDartによる詳細な実装を紹介します。

セキュリティ

Flutterアプリケーションをリバースエンジニアリングするための静的解析と動的解析の手法を解説する記事です。実行時のパッチ適用、独自ABIでの関数呼び出しのインターセプト、通信のインターセプトを取り上げます。

エンジニアリング

インタープリター型言語であるPythonのパフォーマンスを向上させるさまざまな方法を、実際のベンチマークとともに紹介します。

製品

Ostorlabプラットフォームとその検出機能に加わったすべての新機能の概要です。

セキュリティ

さまざまな形で出現し続け、主に銀行や暗号資産のアプリを標的として、ユーザーの資金や機密情報を盗み出すAndroidマルウェア「GodFather」を解析します。

製品

OstorlabはSOC 2 Type 2監査を無事に完了し、セキュリティとデータ保護への取り組みを示しました。

エンジニアリング

OstorlabのFix it!は、バグを根絶し技術的負債を解消するのに役立っている、当社で最も成功したエンジニアリングの取り組みの一つです。

製品

Ostorlabの新機能は、自社のアタックサーフェス、攻撃者が見ているものや狙っているもの、つまり組織がハッキングされる原因になり得るものを、チームが理解し、追跡し、検索できるようにすることに焦点を絞っています。

製品

Ostorlabは、GRC Viewpointにより2023年の脆弱性管理における革新的企業トップ10の一社に選ばれました。

製品

2022年は、戦争、経済の不確実性、そして世界の多くの地域でのインフレの高まりなど、世界的な課題が数多くもたらされた年でした。こうした課題にもかかわらず、Ostorlabは非常に大きな成果を上げた一年を送ることができ、感謝しています。

製品

モバイルアプリケーション向けのCI/CDパイプラインを構築する際の主な課題を取り上げます。また、よく使われるモバイルCI/CDツールで、AndroidとiOSのアプリケーション向けのCI/CDパイプラインをどう構築できるかの例も紹介します。

セキュリティ

CVE-2022-42889は、強力なハンドラーを悪用する文字列補間に起因するApache Commons Textライブラリの脆弱性で、Amazon Shopping、Udemy、Grammarlyなどの人気アプリにも含まれています...

製品

数多くの新機能と変更を反映し、組織のセキュリティ態勢をより深く把握できる新しいダッシュボードをリリースしました。

製品

Mobile Application Security Verification Standardは、安全なモバイルアプリケーションを構築するための重要な一歩です。Ostorlabは、L1、L2、Resilienceの各レベルに対応し...

エンジニアリング

OXOエージェントの開発とデバッグをもっと楽にするためのヒントとコツを紹介します。

製品

アタックサーフェス、オープンソース、モバイルスキャン、Webスキャンの改善をはじめ、数多くの機能を盛り込んだ過去最大のリリースです。

エンジニアリング

本記事では、OXOの内部の仕組みについて解説します。

セキュリティ

アタックサーフェスは、開いているポートやサービスだけの問題ではありません。本記事では、標準的な技術面を超えた重要なインサイトを取り上げます。

セキュリティ

アタックサーフェスのマッピングは、大規模組織の多くのCISOにとって最大の悩みの種となっています。本稿では、強力かつ正確なアタックサーフェス検出と監視を実現するためにOstorlabが用いている手法とツールを解説します。

エンジニアリング

Ostorlabでソフトウェアエンジニアとして働くRabson Phiriの経験を紹介する記事です。

製品

本記事では、モバイルセキュリティのスキャンソリューションを包括的に見渡すとともに、それぞれを真に差別化する点を明らかにします。

製品

Ostorlabをオープンソース化し、数多くの新機能と新たな能力を発表する大型リリースです。

セキュリティ

Log4jの脆弱性はモバイルアプリケーションにどのような影響を与えるのか

製品

Ostorlabについてもう少し知りたいと思いませんか。Safety DetectiveのためにAviva Zack氏から寄せられた、当社の会社概要、Autonomous Securityの構築というミッション、そして当社自身について...

製品

脆弱性管理は困難な道のりです。脆弱性の修正を迅速、着実かつ効率的に進められるよう、多数の新機能を備えた新しい修復機能をリリースしました。

製品

脆弱性管理は困難な道のりです。脆弱性を迅速、確実かつ効率的に修正できるよう、数多くの新機能を備えた新しい修復機能をリリースできることを嬉しく思います。

製品

Ostorlabは、動的セキュリティテスト中に実行されたUIフローを表示するUIコールカバレッジを解析環境でリリースしました。

製品

ヘルステック、侵害と攻撃、計装、Black Hatなどのカンファレンス、eBPFほか、今月の話題をお届けします。

セキュリティ

本記事のテーマは、SSLピンニングを回避する必要なしにSSLピンニングを回避することです。分かりにくいでしょうか。理論を説明し、PythonとLLDBで完全なPoCを構築し、最後にそれを他の便利なタスクへ拡張します。

セキュリティ

本記事では、WebViewsと、AndroidとiOSの両方でこのコンポーネントを使用する際に念頭に置くべきセキュリティ上の考え方について解説します。

セキュリティ

Dependency Confusionは、重大度の高い影響をもたらす新しい攻撃です。本記事では、この脆弱性とその他のサプライチェーン攻撃の概要を紹介します。

セキュリティ

遺伝的アルゴリズムを活用して、人間を超える性能のXSSポリグロットペイロードを生成する方法を技術的に掘り下げて解説します。

セキュリティ

今週は、Cashalo、Npower、Kia、T-Mobile、Clubhouseに影響する注目度の高いデータ侵害が相次ぎました。

製品

Ostorlabは、脆弱性の発見に対する新たなアプローチを備えたWebセキュリティスキャナーを、その機能群に追加します。

製品

逆アセンブル、逆コンパイルされたソース、コールトレース、関数のタグ付けなど、多くの機能を利用できる新しい分析環境です。

セキュリティ

ハードコードされたシークレットは見つけやすく、機密データや特権アクセスへの入り口になり得ます。そのため、バグバウンティハンターや攻撃者にとって格好の標的です。

セキュリティ

セキュリティスキャンの文脈でAutonomous Security（自律型セキュリティ）という用語を紹介し、5段階の成熟度を定義します。

製品

モバイルアプリを開発する場合でも、そのセキュリティを評価する場合でも、新しいリリースのたびに継続的にレビューする必要があります。アプリのビルド、ファイルのアップロード、スキャンの作成を繰り返すのは、すぐに煩わしくなります。Ostorl...

製品

Ostorlabで、Android Play StoreとiOS App Storeから直接スキャンを作成できるようになりました

セキュリティ

Covid-19接触追跡アプリBeAwareのモバイルセキュリティテスト

セキュリティ

COVID-19接触追跡アプリケーションWiqaytnaのモバイルセキュリティテスト

セキュリティ

モバイルアプリケーション評価と、サードパーティ依存関係レビューの自動化

製品

Xamarinの逆コンパイル、非推奨のTLSプロトコル、ハードコードされたシークレットなど多数、OWASP Top 10

エンジニアリング

Ostorlabが提供する検出機能の概要

製品

スキャンのライフサイクル管理の改善、スキャン結果のエクスポート、サブスクリプション

製品

スキャンの公開範囲の管理方法の変更に関するお知らせ

製品

Ostorlab Mobile Security Scannerは、スキャンの進捗状況の追跡やスキャン履歴へのアクセスが可能な新しいポータルをリリースしました。

エンジニアリング

WebstormでNuxt.jsアプリケーションをデバッグする方法

エンジニアリング

Cloud Runを試してみました。これはそこから学んだことです。

セキュリティ

本記事では、Ostorlab Insecure Applicationの使い方について説明します。

セキュリティ

LinuxマシンからJailbreakしていないiPhone上で、iOSアプリケーションファイルのセキュリティチェックを行う方法。

製品

最高のセキュリティスキャン技術の構築を目指すOstorlabチームは、コミュニティスキャナーの制限を撤廃し、当社の静的検出機能をすべて即座に利用できるようになったことを発表します。動的解析についても、スケールを拡大してすぐに利用できる...

セキュリティ

年の初めに前年を振り返り、来る年に備えることは、物事を俯瞰し、自分たちの選択のいくつかを見直すための重要な取り組みです。

セキュリティ

XSSは依然として圧倒的に最も多い種類の脆弱性です。本記事では、XSSの探索を自動化するための戦略を紹介します。

セキュリティ

本記事では、モバイルアプリケーションでAWSのサービスを利用する際に、AWSのアクセスキーをどのように管理すべきかを解説します。

エンジニアリング

動的解析

製品

ここ数か月、Ostorlabチームは魅力的な新機能の追加に精力的に取り組んできました。その一部はすでに本番環境に投入されており、残りも今後数週間から数か月のうちに投入される予定です。

セキュリティ

一連のブログ記事を通じて、バグの追跡と脆弱性の発見の両方を目的に、強化学習を自動テストに活用した当社の過去の実験をご紹介します。

セキュリティ

モバイルアプリケーションのアタックサーフェス。

セキュリティ

Ostorlabは、開発者が安全なモバイルアプリケーションを構築できるよう、モバイルアプリケーションの脆弱性スキャナーを構築するコミュニティの取り組みです。スキャナーの検出機能を支える新たな主要コンポーネントの一つが、パフォーマンスと...

セキュリティ

当社はここ数か月、新たなクラスの脆弱性を特定するための新しいスキャンエンジンの開発に取り組んできました。新しいスキャンエンジンは、SQLインジェクション、インテントハイジャック、安全でない乱数シード、安全でない暗号などを特定できます。

セキュリティ

Cordovaのようなハイブリッドフレームワークには、一つのアプリで複数のプラットフォーム（Android、iOS、Windows Phone、FireOS、FirefoxOSなど）に対応できる利点があります。開発が容易かつ迅速で、一...

セキュリティ

SQLインジェクションと、何が問題になり得るのかを見ていく前に、まずContent Providerに関する技術的な情報を押さえておきます。

エンジニアリング

Android開発者にとって、モバイルアプリの機能を手軽に拡張するために外部ライブラリを使うことは標準的な手法になっています。Gradleによる依存関係の容易な統合のおかげで、HTTPフレームワーク、データベースORM、凝ったスクロー...

セキュリティ

Googleは、Playストアに公開されるアプリのセキュリティ上の弱点の特定を開始します...

エンジニアリング

Ostorlabでは毎日数百のモバイルアプリケーションをスキャンしています。各スキャンは非常に多くのリソースを消費するため、当初から、コードの速度を最適化し、クラウドリソースの利用を最大化する必要がありました。

セキュリティ

Androidでは、権限システムはさまざまな理由から、プラットフォームにおける主要なセキュリティ上の懸念事項の一つでした。

セキュリティ

Network Security Config、OkHttp、Retrofitを使ってAndroidにSSLピンニングを実装し、その動作をテストして、ピンを安全にローテーションする方法を解説します。レガシーライブラリの例も掲載しています。

セキュリティ

Facebookは、ユーザーの反応をテストしFacebookサービスへの定着度を評価する目的で、自社アプリを意図的にクラッシュさせているようです。しかし本稿はユーザーの振る舞い解析についてではなく、それがどのように行われているかという...

セキュリティ

ここ数年、ITプロフェッショナルの仕事の進め方と、セキュリティへの取り組み方には大きな変化が起きています……

製品

オンラインのモバイルアプリケーションセキュリティスキャナーのベータ版をリリースいたしました。

セキュリティ

本記事では、SSL/TLSに関する現時点で最良のリソースを紹介します。