ぜい弱性試験用ソフトウェア（Web）仕様書警察庁情報通信局警通仕形技第31号改１平成24年２月13日制定平成25年３月５日改正１適用範囲本仕様書は、 Webアプリケーションのぜい弱性を試験するためのソフトウェアに適用する。２品名及び略称品名及び略称は、表−１のとおりとする。表−１品名及び略称品名略称ぜい弱性試験用ソフトウェア（Web）３ＷｅｂＶＡＳ所要規格３．１使用条件 3.1.1 本ソフトウェアは、「ぜい弱性試験用資機材仕様書」 (平成 25年３月５日制定警通仕形技第 40号)のぜい弱性試験用資機材（ Web)の仕様を有するパーソナルコンピュータ（以下「試験用PC」という。）で正常に動作すること。 3.1.2 試験対象の機器に新たにソフトウェアをインストールすることなく試験できること。 3.1.3 インターネットを介す試験に対応すること。 3.1.4 試験実施者を固定する必要がある場合には、試験実施者の変更ができること。 3.1.5 試験対象のサーバ数及び試験の回数に制限がないこと。 3.1.6 本ソフトウェアの使用期間は、納品後１年間とし、当該使用期間内に新たにライセンス料金が発生しないこと。３．２構成及び構造ＷｅｂＶＡＳの構成及び構造は、表−２のとおりとする。表−２ＷｅｂＶＡＳの構成及び構造区分品目数量本体ソフトウェア１式添付品取扱説明書１式記事インストール媒体を含むこと。 (1) 日本語表記であること。（英語表記でも可） (2) 媒体は、紙、CD又はDVDであること。３．３機能及び性能ＷｅｂＶＡＳの機能及び性能は、表−３のとおりとする。 - 1 - なお、本ソフトウェアのバージョンは、契約時における最新版であること。表−３ＷｅｂＶＡＳの機能及び性能品目項目機能及び性能ソフト試験対象の設定試験対象の機器をURLで指定できること。ウェア試験項目の設定試験対象の機器に対し、以下の試験項目を設定できること。なお、各試験項目に記載の「 CWE」は、米国の非営利組織「MITRE社」が管理運営する「 Common Weakness Enumeration」の略称である。 (1) CWE-22のパストラバーサルに関連するぜい弱性 (2) CWE-78のOSコマンドインジェクションに関連するぜい弱性 (3) CWE-79のクロスサイトスクリプティングに関連するぜい弱性 (4) CWE-89の SQLインジェクションに関連するぜい弱性 (5) CWE-120のバッファオーバーフローに関連するぜい弱性 (6) CWE-352のクロスサイトリクエストフォージェリに関連するぜい弱性試験の実施 (1) 試験対象の機器に対し、「試験項目の設定」において設定した項目に該当するぜい弱性が存在するか否かについて、試験できること。 (2) 試験実施中は、試験状況を表示できること。結果の表示試験結果について、以下の項目を表示できること。 (1) 発見されたぜい弱性の詳細とそのぜい弱性に対する修正方法 (2) 試験に用いたHTTPリクエストメッセージ及びそのレスポンスメッセージレポートの作成 (1) 「結果の表示」の(1)及び(2)の項目から任意の項目を選択し、 HTML形式又は Microsoft 製WORD形式で日本語のレポートを作成できること。 (2) (1)のレポートを保存できること。パターンファイルの更新ぜい弱性を発見するためのパターンファイルについては、インターネットに接続し、最新版に更新できること。 - 2 - ４検査４．１検査は、構成、構造、機能及び性能について行うものとする。４．２検査は、警察庁と協議の上定める場所において、警察庁検査官が立会いの上行う。４．３検査に必要な施設及び機器は、契約請負者が準備することとする。４．４検査中に、本仕様書の規定に関して解釈上の疑義が生じた場合は、警察庁検査官の指示に従うこと。 - 3 - 特記事項１納入後の支援 (1) ソフトウェアの修正版対応等納入したソフトウェアについて、機能に支障のあるバグの修正等によるバグ修正版がリリースされた場合には、ソフトウェアに対するバグ修正版の導入による影響を検証し、警察庁に報告すること。また、警察庁がその導入を指示した場合は、契約業者の負担で納入先に送付すること。ただし、ダウンロードによる対応が可能な場合は、その対応方法について警察庁と協議すること。なお、本項に規定した対応は、納入後１年間行うこと。 (2) 技術的問い合わせ対応納入品について、開庁日の執務時間内において対応可能な、技術的質問に対応できる窓口を有すること。２納入 (1) 納入先は警察庁とする。 (2) 納期は平成28年８月31日(水)とする。 (3) 物品の納入は平成28年８月15日(月)までとする。 (4) 納入に当たり、警察庁と事前に納入日等を協議すること。なお、次の事項について遵守すること。ア作業員の入退庁等に必要となる関係部署への申請を、納入業者において責任を持って行うこと。イ搬入作業に従事する作業員は、服装・名札・腕章等の着用により、請負者の作業員であることを明らかに認識できるようにすること。ウ施設、人員、備品等に対し、損害を与えないように必要な措置を行うこと。請負業者の責めに帰すべき理由により、施設、物品等に損害を与えた場合は、請負業者の責任と負担において現状に復すこと。 (5) 納入に当たり、疑義が生じた場合は、警察庁担当官の指示によること。３ソフトウェアの操作説明 (1) 警察庁で指定する者（２人）に対して、請負業者が用意した資機材及びソフトウェアを使用し、ソフトウェアの操作方法、ぜい弱性試験手順、試験結果の見方等について説明すること。 (2) 実施日時、場所については、警察庁と協議すること。 - 1 -