バイナリは公開されている
App Store / Google Play に並ぶアプリは、誰でもダウンロードできる「配布済みの実行ファイル」です。攻撃者は手元でいくらでも時間をかけて読み解けます。
MOBILE APP VULNERABILITY MANAGEMENT CLOUD
Abyss.
見つけるだけで終わらない。モバイルアプリの脆弱性を、対策完了まで。
Abyss は、OWASP MAS準拠の独自AIエンジンで iOS / Android アプリを解析し、検出した脆弱性をクラウド上で一元管理します。
The Premise
アプリのバイナリは、
アプリのバイナリは、
攻撃者の視点で読まれている。
自社が配布したアプリは、そのまま攻撃者の解析対象です。守る側も、同じ視点で先にバイナリを読み解く必要があります。
サーバーへの入口が埋まっている
APIエンドポイント、ハードコードされた鍵やトークン、内部ロジックの痕跡。バイナリ単体から、バックエンドへの侵入経路が浮かび上がります。
手動レビューでは追いきれない
難読化、動的ロード、膨大なシンボル。人手の静的解析では時間もカバレッジも足りず、「見たつもり」の領域が残り続けます。
The Engine
独自AIエンジンが、バイナリを
独自AIエンジンが、バイナリを
自走で掘る
Abyss の中核は、OWASP Mobile Application Security（MAS）に準拠した、m1st独自開発の静的解析エンジンです。AIを解析の推進力として使いながら、手順と統制はエンジン側に保持します。
自走する解析ハーネス
「次に何を掘るか」をエンジン自身が決め、観測を連鎖させて掘り進みます。人がクエリを組み立てなくても、探索が自律的に前へ進みます。
手順と専門知はエンジン側に
モデルは入れ替え可能でも、静的解析の手順・専門知・統制はエンジンに保持。属人化せず、同じ深さの解析を安定して再現します。
OWASP MASに準拠
モバイルアプリのリスクをOWASP Mobile Application Securityの体系に沿って評価。組織で一貫した診断と対策を進めるための基準を提供します。
What it reads
バイナリから、侵入経路まで。
iOS / Android の両プラットフォームに対応。公開バイナリ一つから、サーバーへの入口を洗い出します。
iOS
FairPlay 復号済みバイナリを起点に、Mach-O シンボル・文字列参照・xref を辿って内部構造を再構成します。
Android
apktool 展開済み APK の smali グラフを構築し、iOS と同じ深さで OWASP MAS準拠の静的解析を実行します。
APIエンドポイント
バイナリ内の文字列・参照から、バックエンドの通信先を網羅的に抽出。
認証情報・鍵
ハードコードされたトークン、APIキー、証明書などの秘密情報を検出。
内部実装の痕跡
認証フロー、Keychain / KeyStore アクセス、機能フラグなどの実装痕跡。
侵入経路のマッピング
バイナリ単体から、サーバーへ到達しうる経路を構造として可視化。
iOS × Android 照合
同一ベンダーの案件では、両OS間の対称性（parity）を突き合わせて検証。
標準形式で出力
レポートに加え、SARIF・CycloneDX形式で出力。既存の開発・セキュリティ基盤と連携できます。
Vulnerability Management
スキャンは入口。対策完了までがAbyss。
スキャン後の脆弱性をAbyss上で継続管理。検出根拠を失うことなく、優先順位付け、担当設定、ステータス管理、再発確認までを一つの場所で進められます。
リスクの高いものから
重要度・根拠・対象アプリを一つのキューで確認。影響の大きい脆弱性から、迷わず対策に着手できます。
担当と状況を明確に
担当者を設定し、検出から対策完了までステータスを追跡。技術的なコンテキストも脆弱性に紐づけて保持します。
リリースをまたいで追跡
繰り返しのスキャン結果を継続管理。何が直り、何が再発し、何が残っているかを把握できます。
How it works
見つける。管理する。直し切る。
解析と脆弱性管理を分断せず、発見から対策完了までを一つのワークフローでつなぎます。
01
アプリを渡す
IPA / APK をアップロードするだけ。iOS は FairPlay 復号済みバイナリ、Android は APK をそのまま受け付けます。
02
OWASP MAS準拠で解析
独自AIエンジンが、API・認証情報・データ処理・内部実装の痕跡を、モバイルセキュリティの標準に沿って解析します。
03
Abyss上で管理
検出根拠を確認し、優先順位と担当者を設定。すべての脆弱性を一つのワークスペースで動かします。
04
対策・連携する
対策完了まで追跡し、SARIF・CycloneDX形式で出力。既存の開発・セキュリティツールにもつなげられます。
Controlled by design
解析はローカル。管理はクラウド。
アプリのバイナリは、管理されたローカル解析環境で取り扱います。検出した脆弱性はAbyssに集約し、チームやリリースをまたいで安全に継続管理します。
Local
管理されたバイナリ解析
Cloud
継続的な脆弱性管理
2
標準出力 · SARIF / CycloneDX
Contact
あなたのアプリを、攻撃者より先に読む。
Abyss のサービス資料、解析範囲、導入までの進め方をお送りします。アプリの状態や確認したいリスクがあれば、あわせてお知らせください。
ご相談内容・アプリの情報は、秘密保持のもとで取り扱います。