Question 1

PentaTrail CTEM/ASMとは何ですか？

Accepted Answer

PentaTrailは、外部攻撃面（Attack Surface）を自動的に発見・監視するCTEMプラットフォームです。

組織が保有するドメインを起点に、攻撃者の視点から外部に公開された資産と脆弱性を継続的にスキャンします。

主な機能：

ホスト・IP・ポート・技術スタック・URL・クラウドバケットの自動発見
該当する可能性のある既知の脆弱性の検出
外部資産の継続監視（変化も追跡）
危険度づけ（S・A・B・C・D の 5 段階）

Question 2

無料で使えますか？何ができますか？

Accepted Answer

PentaTrail ASM は無料です。クレジットカードの登録は不要です。ドメインを登録すると、外から見えているものの把握が始まります（ドメインは 1 つまで）。PentaTrail ASM でできること：外部アセットの自動探索・台帳化、該当する可能性のある既知の脆弱性の検出。何から対応すべきか、その理由や具体的な対処方法まで必要になったら、PentaTrail CTEM へ切り替えられます。PentaTrail ASM のままでも請求は発生しません。

Question 3

導入にどれくらい時間がかかりますか？

Accepted Answer

ソフトウェアのインストールやネットワーク設定は不要です。アカウントを作成し、監視対象のドメインを登録すると観測が始まります。開始までの流れ：利用規約に同意してアカウントを作成、監視対象のドメインを登録、外部から確認できる資産の観測を開始。見つかった資産や脆弱性は、観測が進むにつれてダッシュボードに反映されます。

Question 4

監視ドメインの登録方法は？

Accepted Answer

ドメインまたはURLを入力すると、監視の起点となるオリジンドメインに整理した結果を確認して登録できます。ドメイン、URL、サブドメインのいずれかを入力し、PentaTrailがオリジンドメインに整理した結果を確認して登録すると、外部から見える範囲の観測が始まります。

Question 5

無料の単一ドメイン診断ツールと何が違いますか？

Accepted Answer

無料の単一ドメイン診断ツールは、入力した1つのURLをその場で一度だけ検査する「単発チェック」が中心です。PentaTrailは、登録したオリジンドメイン配下のサブドメイン・IP・ポート・技術スタックまでを自動探索したうえで、継続的に監視・再スキャンします。発見範囲：単一ドメイン診断は入力したURL単体のみが対象です。PentaTrailはオリジンドメイン配下の関連資産を自動探索し、把握していなかった資産も可視化します。継続性：単一ドメイン診断は手動で都度実行する一度きりの検査です。PentaTrailは継続的に観測し、新規資産と、該当する可能性のある既知の脆弱性の出現を継続的に検知します。優先度づけ：単一ドメイン診断は検出結果の一覧提示にとどまることが一般的です。PentaTrailはTER（S・A・B・C・Dの5段階）の危険度づけとAI対処ガイダンスで、対応の優先順位まで示します。

Question 6

問い合わせ・サポートについて

Accepted Answer

製品に関するご質問、技術的なご相談、契約に関するお問い合わせなど、お気軽にご連絡ください。お問い合わせはこちら

Question 7

どんなアセットが発見されますか？

Accepted Answer

PentaTrailは7カテゴリのアセットを自動的に発見・台帳化します：ホスト：サブドメイン、関連ホスト名、IPアドレス：紐付くIPアドレスの解決、ポート・サービス：公開ポートと稼働サービスの検出、技術スタック：Webサーバー、フレームワーク、CMS等の特定、URL：Webアプリケーションのエンドポイント、クラウドバケット：S3等のクラウドストレージ、WHOIS情報：ドメイン登録情報。

Question 8

監視できないアセットや制限はありますか？

Accepted Answer

PentaTrailは外部（インターネット）から到達可能なアセットを監視対象としています。以下は監視対象外となります：社内ネットワーク — ファイアウォール内部のサーバーやイントラネット、VPN経由のみアクセス可能なホスト — 外部からDNS解決・接続できない環境、認証が必要なアプリケーション内部 — ログイン後の画面遷移やAPI。これは攻撃者と同じ外部視点でリスクを評価するCTEMの設計思想に基づくものです。

Question 9

オンプレミス資産（社内ネットワーク）も監視対象にできますか？

Accepted Answer

いいえ、外部（インターネット）から到達できないオンプレミス資産は監視対象外です。PentaTrailは攻撃者と同じ外部視点でリスクを評価するCTEMのため、以下は監視対象になりません：ファイアウォール内部のオンプレミスサーバー・イントラネット、VPN経由のみアクセス可能なホスト、外部からDNS解決・接続できない環境。ただし、オンプレミス資産であってもグローバルIPを持ち外部から到達可能な場合は、監視対象ドメインの配下として自動的に発見・監視されます。

Question 10

どんな脆弱性を検出できますか？対応する脆弱性情報源を教えてください

Accepted Answer

Webアプリケーションの脆弱性とSSL/TLSの設定不備を中心に、技術スタックのバージョン情報と複数の脆弱性データベースを突き合わせて検出します。対応する脆弱性情報源：NVD（CVE）：米国国立脆弱性データベースが公開する脆弱性情報、EPSS：脆弱性が実際に悪用される確率を予測するスコア、KEV：実際に悪用が確認された脆弱性のカタログ、Linuxディストロ Security Advisory：Debian・Ubuntu・RHEL等のディストリビューションが発行するセキュリティ勧告。パッチのバックポート適用状況を照合し、バージョン番号だけでは判定できない誤検知を抑制します。

Question 11

脆弱性の優先度はどのように決まりますか？

Accepted Answer

CVSSの深刻度だけでなく、公開されている脅威情報とPentaTrailの観測根拠を組み合わせ、対応の優先度を整理します。主に見る情報：CVSS：脆弱性そのものの深刻度。EPSS / KEV：悪用される可能性の予測と、実際に悪用が確認されているか。観測根拠：複数の情報源で裏づけが取れているか。資産の重要性：AIが判定した初期値（変更できます）。TER：技術的な危険性と資産の重要性を、公開している組み合わせの表で掛け合わせ、S・A・B・C・Dの5段階で危険度を表示

Question 12

AIはどのように活用されていますか？

Accepted Answer

AIは、検出した問題に対する具体的な対処方法を示すために使います。AI対処ガイダンスでは、対象、対応が必要な理由、具体的な対処方法を日本語でまとめます。資産の発見そのものは、DNSや証明書情報などの技術的な観測をもとに行います。

Question 13

通知・アラート機能はありますか？

Accepted Answer

PentaTrail CTEM では、対応が必要な変化やAI対処ガイダンスを通知から確認できます。通知には既読・未読の状態があり、項目を開くと関連する内容へ移動できます。PentaTrail ASM では製品の通知は表示せず、契約や障害などサービス運営上のお知らせは別に扱います。

Question 14

APIやツール連携は可能ですか？

Accepted Answer

MCP（Model Context Protocol）サーバーを提供しています。お客様が承認したAIツールから、PentaTrailの資産・脆弱性・優先度を参照し、監視対象や除外を変更できます。繋ぎ先はひとつ（https://api.pentatrail.co/mcp）。お手元で秘密を保管する必要はありません。接続時にブラウザで承認します。承認画面には、その接続で実際にできることが並びます。承認した接続は、管理画面からいつでも取り消せます。読み取り（資産・脆弱性・優先度）と、変更（監視対象・除外）に対応。詳しくはMCPサーバーの案内をご覧ください。顧客向けのREST APIは公開していません。

Question 15

脆弱性診断（手動ペンテスト）と何が違いますか？

Accepted Answer

手動の脆弱性診断（ペネトレーションテスト）は、専門家が一時点で深く侵入検証を行う「点」の評価です。一方PentaTrailは、外部攻撃面の発見から脆弱性の検出・優先度づけ・直し方の提示までを自動化し、継続的に繰り返す「線」の評価です。実施頻度：手動診断は年1回程度が一般的です。PentaTrailは継続的に観測し、資産の変化と、該当する可能性のある既知の脆弱性を継続的に検知します。対象範囲：手動診断は事前に定めたスコープを深く検証します。PentaTrailは監視対象ドメイン配下の資産を自動探索し、把握していなかった資産も対象に含めます。両者は代替関係ではなく補完関係です。PentaTrailで継続的に攻撃面を把握しつつ、重要なシステムには手動診断を組み合わせる運用が有効です。

Question 16

データはどこに保存され、どう保護されていますか？

Accepted Answer

すべてのデータは日本国内のクラウドインフラに保存され、通信・保管ともに暗号化されています。セキュリティ対策：通信暗号化：すべての通信はTLS 1.2以上で暗号化、保管時暗号化：データベースはAES-256で暗号化、アクセス制御：行レベルセキュリティ（RLS）により、契約単位で厳密にデータを分離、認証：パスキー（WebAuthn/FIDO2）によるパスワードレス認証（フィッシング耐性）、鍵管理：Vaultを活用。お客様のスキャン結果やアセット情報は、同一基盤上の他の契約のデータからは一切アクセスできません。

Question 17

チームでの利用・権限管理はできますか？

Accepted Answer

契約オーナー・ユーザー管理者・一般ユーザーの3つの役割でアクセスを管理しています。契約オーナー — 契約・プラン管理、支払い情報の管理、全権限を保有、ユーザー管理者 — ユーザーの招待・削除、チームメンバーの管理、一般ユーザー — アセット・脆弱性の閲覧。

Question 18

コンプライアンス対応に活用できますか？

Accepted Answer

外部公開資産の状況を継続して把握し、監査やリスクアセスメントで説明するための材料として利用できます。アセット台帳— 外部から確認できる資産を継続的に整理。危険度— 脆弱性や観測根拠をもとに対応の優先度を確認。観測の記録— いつ何が見つかり、その後どう変わったかを確認。特定の認証や監査への適合を保証するものではありませんが、自社の外部公開面を説明する根拠として活用できます。

Question 19

料金プランについて教えてください

Accepted Answer

料金プランの詳細は料金ページをご確認ください。

Question 20

契約形態について教えてください

Accepted Answer

PentaTrail CTEM は月額サブスクリプションで、最低利用期間はありません。請求サイクル：お申し込み日を起点に毎月更新。標準の支払い方法：クレジットカード。銀行振込・請求書払い：弊社による審査を経て対応可能。追加ドメイン・追加ユーザー：契約管理画面から数量を変更。解約・支払い方法の変更：解約は「契約と支払い」画面からお手続きください。支払い方法の変更は、同画面から開く Customer Portal で行えます。サービス内容・利用条件の詳細は。利用規約。をご確認ください

Question 21

銀行振込・請求書払いに対応していますか？

Accepted Answer

標準の決済手段はクレジットカードです。銀行振込・請求書払いは、弊社による審査を経て対応可能です。いずれの場合もStripeによる請求管理となり、安全にお支払いいただけます。

よくある質問

主な機能：

PentaTrail ASM でできること：

開始までの流れ：

問題が解決しませんか？