脆弱性診断とは？目的・種類・進め方を初心者向けにわかりやすく解説
脆弱性診断とは何か、なぜ必要なのかを初心者向けに解説します。ペネトレーションテストとの違い、診断の種類、一般的な進め方、実施頻度の考え方までを整理します。
Security Basics
攻撃者より先に、自社の欠陥を見つける。
脆弱性診断は、Webサイトやサーバーに潜む「攻撃者に悪用されうる欠陥」を先回りして見つける検査です。症状が出てから病院に行くのではなく、定期的に検査して問題を早期に見つける——システムの健康診断にあたります。
- 診断の種類
- 4種
対象システム別に使い分け
- 進め方
- 5ステップ
範囲決定から再診断まで
- 定期実施の目安
- 年1回〜
重要システムはより高頻度
- 参照基準
- IPA / OWASP
公開されている実務基準
なぜ脆弱性診断が必要なのか
理由は3つに集約されます。攻撃者は常に脆弱性を探していること、脆弱性は通常の利用では自分で気づけないこと、そして取引先のセキュリティチェックや認証制度で実施を求められるケースが増えていることです。
ペネトレーションテストとの違い
| 脆弱性診断 | ペネトレーションテスト | |
|---|---|---|
| 目的 | 脆弱性を網羅的に洗い出す | 実際に侵入できるかを検証する |
| 進め方 | 既知の脆弱性パターンを幅広く検査 | 攻撃者の視点で侵入経路を深掘り |
| 結果 | 脆弱性の一覧と重要度 | 侵入の成否と到達範囲 |
| 位置づけ | 定期的な健康診断 | 実戦形式の防御力テスト |
まず脆弱性診断で全体の状態を把握し、より実践的な検証が必要になった段階でペネトレーションテストを検討する、という順番が一般的です。
診断の種類
Webアプリケーション診断
ログインや入力フォームなど、アプリの作り込みに起因する脆弱性（SQLインジェクション等）を検査
プラットフォーム診断
OS・ミドルウェアの設定不備や、修正プログラム未適用の既知脆弱性を検査
スマートフォンアプリ診断
モバイルアプリ本体と、アプリが通信するAPIを検査
クラウド設定診断
クラウドサービスの公開範囲・権限などの設定不備を検査
どの脆弱性が特に危険かは、IPAの「安全なウェブサイトの作り方」やOWASPの「OWASP Top 10」が広く参照されています。
診断の進め方
いつ・どのくらいの頻度で実施するか
よくある質問
脆弱性診断とペネトレーションテストはどちらを先にやるべき？
まず脆弱性診断で全体の状態を網羅的に把握し、より実践的な検証が必要になった段階でペネトレーションテストを検討する順番が一般的です。
どのくらいの頻度で受けるべき？
決まった正解はありませんが、大きなリリース前と年1回などの定期実施の組み合わせが目安です。決済や個人情報を扱うシステムはより高頻度が検討されます。
診断を受ければ安全ですか？
診断はその時点・その範囲の確認です。指摘の修正と再診断、運用中の監視までをセットで考える必要があります。