脆弱性診断（セキュリティ診断）とは｜その種類ややり方・サービスの選び方

脆弱性とは

脆弱性（ぜいじゃくせい）とは、OSやソフトウェア、ハードウェアにおいて、情報の安全性を脅かす恐れのある欠陥のことを指します。脆弱性診断を実施することでセキュリティの現状を確認し、現状の課題に応じた適切な対策を実施することで、情報漏洩などのリスクを軽減することができるでしょう。

脆弱性診断の目的

脆弱性診断の目的は、脆弱性を悪用された場合に情報漏えいやシステムが使用不能となってしまうなど、意図的、または意図的ではない侵害につながる可能性のある既知の脆弱性の特定・ランク付け・および報告をすることです。発見された脆弱性は種類（カテゴリ）や危険性（重要度）を「共通脆弱性評価システム（CVSS）」というもので評価し、必要な対策を講じます。

ペネトレーションテストとの違い

脆弱性診断と似たセキュリティ診断にペネトレーションテストがありますが、このふたつは行う目的が異なります。

「脆弱性診断」は、システム全体に対して網羅的な検査を行い、サイバー攻撃のきっかけとなる脆弱性（リスク）を発見するものです。一方、「ぺネトレーションテスト」はシステムに実際に侵入し、現実的な攻撃シナリオを用いて問題点を発見・改善することで、サイバー攻撃の予防につなげるものとなります。

下記に目的・調査対象の違いをまとめました。

脆弱性診断とペネトレーションテストは双方とも脆弱性などを検出する点では似ていますが、目的と方法が異なります。脆弱性診断ではシステムの不備を網羅的に把握するためにシステム全体に対して実施するのに対し、ペネトレーションテストは実際にサイバー攻撃を受けた際と同様の手法を使い特定の目的を達成できるか確認するために実施するものです。

双方のセキュリティ診断の目的が異なるため、把握したいリスクの内容によって使い分けて行うことが重要でしょう。

【関連記事】サイバー攻撃とは？手口の種類や事例、最近の動向と対策を詳しく紹介

【関連記事】ペネトレーションテスト（侵入テスト）とは｜脆弱性診断との違いや種類・やり方

アプリケーション診断

アプリケーション診断とは、企業が開発したWebアプリケーションに内在する脆弱性を発見する診断手法となります。

調査対象となるアプリケーションはECサイトやゲームアプリ、SNS、バックオフィスなどWeb上で使用できるすべてのアプリケーションが対象となります。Webアプリケーションはお客様のニーズによって様々な機能が実装されており、脆弱性が発見される箇所は千差万別です。使用するプログラミング言語も様々なため、Webアプリケーションの特性に応じた柔軟な診断を行う必要があります。

こうした状況において、Web アプリケーションの脆弱性として知られる「SQL インジェクション」や「クロスサイトスクリプティング」、「なりすまし」などはもちろんのこと、システムの利用環境に合わせた診断方法で調査を実施しシステム停止や情報漏えい・データ改ざん・不正アクセス・認証回避などにつながる脆弱性を洗い出します。

プラットフォーム診断

プラットフォーム診断とは、Webアプリケーションを使用するためのネットワーク機器やOS、サーバー、ミドルウェアに脆弱性がないか、設定に問題がないかを検査する方法です。

上記の対象に対して、インターネットに公開されているお客さまのネットワーク機器やサーバー等に対して診断を実施し、ネットワークスキャナなどを用いた脆弱性の検出や各種機器の設定状態の確認を行います。新規のWebサービスをリリースする企業や前回の脆弱性診断を受けてから1年以上経過している企業はプラットフォーム診断を実施したほうが良いでしょう。

手動診断

「手動」とは、サイバーセキュリティの専門知識を持つテスト実施者（セキュリティエンジニア）が、対象のWebアプリケーションを自らの手で検査することを意味しています。

例えば、仕様設計上のミスに起因する脆弱性のような機械的には発見が困難な脆弱性も発見できるなど、テスト実施者の経験や知識を駆使しながら検証を行うため自動脆弱性診断ツールの検査精度が勝ることはありません。

ECサイトなど個人情報を扱うサイトは不正アクセスなどによる情報漏えいがビジネスに致命的な影響を及ぼします。そのようなサイトを運営している企業にはおすすめの診断サービスとなります。

ツール診断

ツール診断は、その名の通りツールによる自動診断です。手軽にWebブラウザから使用することができ、診断から結果まで最短5分程度で完了するものもあります。

個人情報などの取り扱いはないWebサービスの場合でも、新規のサービスをリリースする場合などリリース前に脆弱性がないか確認したいという場合におすすめの診断サービスとなります。

診断する範囲で選ぶ

診断対象のサービス・ツールによって診断できる範囲は異なります。例えばWebアプリケーションを診断する場合、クロスサイトスクリプティング対策としてのコンテンツの生成方法やインジェクション対策としての入力方法の確認です。また、アクセス制御・セッションの管理方法・コンテンツ公開設定など多岐に渡ります。

「何の脆弱性を調べたいのか」「診断項目は足りているか」など脆弱性診断の目的を定めておき、診断範囲を確認しておきましょう。

診断の深度で選ぶ

脆弱性診断サービスを利用する上では診断内容の深度もチェックするポイントとなります。

ツール診断と手動診断では診断の深さが異なります。例えば手動診断であれば、専門のテスト実施者が対象システムの構造を確認した上で自身の経験からその対象にあった検査を実施することが可能です。

ツールでは診断が難しい権限に関する診断や仕様上の設計ミスなど、入念に調べたい箇所に対応してもらえるかなども事前に確認しておきましょう。クリアしなくてはいけない項目や初めての診断のためしっかり行いたいなど希望がある場合は、事前に伝えた上でサービスを選ぶ必要があります。

診断費用で選ぶ

同じ項目の診断を依頼する場合でもサービスによって費用が異なる場合があります。中には無料で使用できるツールもあります。

脆弱性診断は無料で行えるものから数十万〜数百万円かかるものなど様々です。1度利用契約をすると年数回の検査を行えるプランなどもあります。どれくらいの頻度でどのような内容の検査を行いたいのかを明確にし、脆弱性診断を行っている数社の企業から見積もりを取り、社内の状況に合った脆弱性診断を選ぶようにしましょう。

診断後のアフターフォローで選ぶ

脆弱性診断が終わった後のアフターフォローも重要です。診断によって脆弱性が見つかったとしても、改善策を提示してもらえなければ開発側もどう対策してよいのかわかりません。

診断後に報告書を提出してもらえるか、脆弱性が見つかった場合は対策方法についても提案してもらえるかなど事前にチェックしておいたほうが良いでしょう。またサービスによっては改善後にもう一度診断（再診断）を実施してくれる会社もあります。脆弱性診断サービスによってアフターフォローの内容が異なるため、依頼前に確認しておくことが大事です。