脆弱性診断とは、ネットワークやOS、ミドルウェア、Webアプリケーション等に「脆弱性」がないかを診断するセキュリティテストのことを意味します。攻撃者目線で「脆弱性」を狙い、攻撃できる隙があるかを検証することで、ウイルス感染、情報漏えい・改ざん等のリスクを未然に防ぐことができます。
この記事では、最新の脆弱性診断ツールの資料と合わせ、選ぶポイントやメリットを掲載しています。脆弱性診断ツールの比較に是非お役立て下さい。
脆弱性診断ツール（サービス）とは？
脆弱性診断とは、ネットワークやOS、ミドルウェア、Webアプリケーション等に「脆弱性」がないかを診断するセキュリティテストのことを意味します。攻撃者目線で「脆弱性」を狙い、攻撃できるか否かを検証することで、ウイルス感染、情報改ざん等のリスクを未然に防ぐことができます。
脆弱性を分かりやすく言うならば、そのネットワークを攻撃できる「隙」があるかどうかということです。
家に例えるならば、脆弱性の高い状態とは、鍵が壊れている、あるいは鍵の隠し場所がバレているというような状態です。このような家には泥棒は侵入し放題ですが、脆弱性の高いネットワークも同様に簡単に攻撃を受けやすい状態となっています。
独立行政法人情報処理推進機構(IPA)の調査によれば、約 40 ％の企業がサイバー攻撃を受けた経験があるものの、その発覚経緯の約半数は外部からの指摘によるものとされています。サイバー攻撃を受けていても、そのことに気づいていない場合が多いという危険な状態にあります。
ITの進化でセキュリティーも強化されていますが、同様にサイバー攻撃の手口も進化・多様化しています。そのリスクは他人事とは言えない状況になっているのです。
被害に遭ってからでは間に合わないため、未然に防ぎ、対策を講じるのに役立つのが脆弱性診断ツールの導入が加速しています。
脆弱性診断ツール（システム）の診断項目は？
セキュリティー診断ツール（システム）には、
・ツール型
・手動型
の主に2種類に分けられます。
ツール型脆弱性診断
ツールを用いて自動で脆弱性を診断するシステムのことです。こちらはSEやプログラマー等、専門的なセキュリティ診断の知識を持たない方を主な対象としたツールです。
無料のサービスもあり、有料にアップグレードすることでより精密な診断を自ら行うことができるという点で、誰でも手軽に導入しやすいと言えます。
但し、使いやすさはツールや値段によって異なり、慣れていない場合は使いこなせないということもあります。
また、導入から診断まで自己責任で行うため、専門家の細かいアドバイスやコンサルティングを求める場合やレポートの質を重視する場合は、オプションやツール型以外も検討すると良いでしょう。
手動型脆弱性診断
セキュリティ専門家が検査を行う診断方法です。例えばWebサイト上に存在する脆弱性を洗い出す場合、専門家が実際にWebサイトを操作して診断を行います。
診断結果が出るまでに時間を要し、にコストも掛かる一方、診断精度の高さや、ツールでは検知できないような複雑な欠陥を発見できる点、その後のフォローまで一貫している点が魅力です。
手動で診断を行いたい対象を絞った上で活用すると効果的と言えます。
脆弱性診断ツール（システム）を導入していないと…？
脆弱性を利用して外部から不正アクセスされると、情報漏えいやウィルス感染する等の事態を招くことになります。
また、これらの被害は自社のクライアントにも及び、被害状況によっては経営責任や法的責任も問われ、ブランドイメージの低下に繋がる等のリスクもあります。
近年は特に、情報改ざん以上に、クレジットカード情報などの個人情報を不正に入手して売買する金銭目的の犯罪が横行しています。更に、入手した個人情報と引き換えに身代金を要求する、「ランサムウェア」といったマルウェアによる被害も生じています。
こうしたサイバー犯罪は、ビットコイン等仮想通貨の広まりとも関係しており、今後も多様化、複雑化していく可能性が高いです。
このような被害を未然に防ぐために、常に脆弱性の診断を行うこと、問題が見つかれば対策を講じることの重要性は増しています。
対策急務！特にメジャーな被害2選
特にSQLインジェクションとクロスサイトスクリプティング（XSS）の脆弱性を利用した攻撃は、発生頻度が高い上、個人情報の大量流出等被害の規模も大きくなりうるため、最優先で対策必須と言えます。
脆弱性診断ツール（サービス）の診断対象
・Webアプリケーション
・プラットフォーム
・ネイティブアプリ
の3点が挙げられます。
Webアプリケーション診断
攻撃者の視点に立ち、サーバ上で稼働させるWebアプリケーション（Webサイト上で稼働するプログラム）を対象として行う脆弱性診断です。
他の２つ以上に、Webアプリケーションは攻撃できる箇所や手法の選択肢が広く、個人情報等価値の高い情報が大量に蓄積されており、情報の改ざんや不正入手の被害が多発しています。
低レイヤーの通信よりも正常通信と攻撃を見分けにくい上に、開発や更新のスケジュール上個別のセキュリティ対策が遅れてしまっているという問題が見られます。
以上のような理由から、近年特に対策が重視されている対象はWebアプリケーションです。
プラットフォーム診断
サーバやネットワークを対象に行う診断のことです。
主に、OSやミドルウェア等の脆弱性への対応や、ネットワーク機器の状態、各サービス等の安全性について検査します。
ネイティブアプリ診断
主にiPhoneやAndroid等、スマートフォン・タブレット向けアプリを対象とした診断のことです。
タブレット内に残るデータの管理や、逆コンパイル（実行可能形式のコンピュータプログラムを開発時に用いられたプログラミング言語による記述に戻す変換処理のこと）による悪用の危険性など、モバイルアプリ特有の問題の検査も行われています。
脆弱性診断サービス（システム）を選ぶポイントは？
自社に合ったサービスを選ぶのに、判断基準となるポイントは主に４個あります。
まずは自社にとってのネットワーク上の脅威は何か、何を対策したいのか、そのためにどのような機能が必要なのか、を洗い出した上で以下の項目を検討してみてください。
・必要な診断項目をカバーできるか
・ユーザーフレンドリー
・診断レポートのクオリティー
・サポート体制が整っているか
必要な項目をカバーできるか
情報漏洩防止やWebサイト改ざん防止、ウイルス感染防止等、サービスごとに診断できる項目は様々です。
更に、そもそもツール型と手動型と２パターンあり、前述した通り診断対象もWebアプリケーション、プラットフォーム、ネイティブアプリ等が挙げられるため、誰が何のために診断をするのか明確にすることで、コストパフォーマンスを期待できます。
１つの項目について徹底的に検査したい場合は手動型やコンサルティングサービス、ある程度の検査を数種類行いたい場合はツール型のように、使い分けることをお勧めします。
ユーザーフレンドリー
特にツール型については、一般的にSEやプログラマー等、専門知識を持つ人以外も対象としています。しかし、値段や仕様によってはセキュリティやITの知識が無いと使いこなせないツールも存在します。誰が診断ツールを使用するか明確になった後は、使いやすさやどれほどのITリテラシーが求められるツールであるかを前もって確認しましょう。
診断レポートのクオリティー
診断レポートのクオリティーは、費用や診断ツールのタイプと関わっています。
コンサルティングサービスまで付随する付加価値の高い診断タイプの場合、細かく深い審査結果に加え、専門家考案の徹底的な対策方法まで提供されるものもあります。
一方簡単な診断の場合はレポートもシンプルであるため、急を要さない診断や、結果次第でコンサルタントに相談するという場合等に適しています。
サポート体制
ツール型の場合は特に、導入の際や使用方法が分からない時等、脆弱性診断ツールに慣れていないユーザーでも安心して相談できる体制が整っているのが理想的です。
また、脆弱性診断は常に行われているのが理想的ですが、稼働中のトラブルや故障等も当然起こり得ます。そこで、万が一の時にどのような対応を受けられるのか、24時間サポート体制が整っているのか等も検討項目に入れておくと安心です。
月額1万円～あなたの会社のサイトをサイバー攻撃から防ぐ！ 導入シェア国内№1※ | サイバーセキュリティクラウド
Webセキュリティサービスの中で「攻撃遮断くん」が選ばれ続けている理由
累計導入社数 国内第1位※を記録した背景には他のWAF（Web Application Firewall）にはない「攻撃遮断くん」ならではの特徴があります。
※日本マーケティングリサーチ機構調べ 調査概要：2021年10月期_実績調査
■クラウド型WAF「攻撃遮断くん」の特徴
①環境＆ニーズに応じた2タイプのWAFをご提供
防御対象サービスのDNSを攻撃遮断くんWAFセンターに切り替えて攻撃検知・遮断を行う「DNS切り替え型WAF」に加え、防御対象のサーバにインストールしたエージェントが、攻撃遮断くん 監視センターへログを随時送信し、その後エージェント側が攻撃遮断くん監視センターから遮断命令を受けて攻撃を遮断する「エージェント連動型WAF」の2タイプをご提供しており、さまざまな環境に応じた導入を可能にしています。
②サイバー攻撃を可視化する管理画面
「攻撃遮断くん」はリアルタイムでサイバー攻撃を可視化し攻撃元IPや攻撃種別などを管理画面で把握することができます。
目には見えないサイバー攻撃を可視化することで、より適切な状況把握と情報共有が可能になります。
■サービスの特徴
①日本での自社開発
「攻撃遮断くん」は、日本国内に拠点を構えたサイバーセキュリティクラウド社セキュリティ情勢に合わせたサービス提供・運用をしています。
②24時間365日の手厚いサポート
「攻撃遮断くん」は、全てのプランで電話サポートが可能！日本人スタッフによる丁寧な対応だけでなく解説付き月次レポートを提供しています。
(月次レポート提供はプランによって異なります。)
③国内トップクラスの脆弱性対応スピード
専任のリサーチャーによるインシデントの調査だけでなく、世界中のセキュリティ情報収集することにより、最新の脆弱性にもいち早く対応しています。
④複数サイトでも定額で導入可能
複数サイトでも対応可能なエンタープライズ向けのプランもご用意。複数サイトでも定額で利用可能です。
■導入サービスの特性に合わせて最適なプランが選べる！
・Webセキュリティタイプ（DNS切り替え型）
★特徴
防御対象サービスのDNS（ドメインネームシステム）を攻撃遮断くんWAF センターに切り替えることで、http/https通信を通る不正なアクセスを検知・遮断します。DNSを切り替えることですぐにご利用いただくことができます
・サーバセキュリティタイプ（エージェント連動型）
★特徴
クラウド上の監視センターにログを送信するためのエージェントをサーバへインストールし、送信されたログをもとに攻撃の検知・遮断命令を出します。
攻撃の検知・遮断の最中でも、WAF 導入によるサーバ性能の低下やサイトを訪れるユーザーへのレスポンス低 下といった心配がありません。
トラフィック容量の大きなコンテンツを提供しているWebサービスを運営している方に特におすすめです。
資料ダウンロードはこちら
中小企業もターゲットに！サイバー攻撃から身を守る、Webサイトへの診断とは | 株式会社レイ・イージス・ジャパン
Webサイトセキュリティを強化したいが、そのためにまず何からすればよいか。
サイバー攻撃の現在の状況から、一般的なセキュリティ診断の診断範囲のご紹介や、実際にレイ・イージス・ジャパンで提供している診断のご紹介まで、セキュリティ診断の選び方をご説明します。
━━━━━━━━━━
▼概要
━━━━━━━━━━
1.複雑化するセキュリティインシデント
└情報セキュリティ10大脅威2022(IPA)をもとにサイバー攻撃の現在の状況
2.セキュリティ診断の種類と選び⽅
└「Webアプリケーション診断」「プラットフォーム診断」「ペネトレーションテスト」など各種存在するセキュリティ診断の種類とその概要
3.セキュリティ診断の実施⽅法
└「リモート診断」「オンサイト診断」など実施方法の概要
4.セキュリティ診断の選び⽅
└Webアプリケーションに対して、どのような診断が推奨か
└レイ・イージスが提供するサービスでの実例紹介
▼提供可能サービス
・Webアプリケーション診断（ツール診断、ツール＋手動診断いずれも可）
└AIクイック・ツール脆弱性診断/AIリモート脆弱性診断
・ペネトレーションテスト（Webアプリケーション診断＋侵入テスト）
・プラットフォーム診断
・モバイルアプリ診断
・DDos演習
その他ファレンジックサービスや、マルウェア検知サービス、クラウド型WAFの提供など各種セキュリティサービスを提供しております。
□株式会社レイ・イージス・ジャパン
セキュリティ診断サービスやセキュリティコンサルティングサービスを提供する目的で、株式会社アリス（本社：東京都新宿区、 代表取締役社長：小林 賢治、 以下「アリス」）及び、 RayAegis Information Security（本社： 台湾新北市新店区、 責任者 江格）との合弁で2019年10月に設立されました。 経験豊富で技術力の高いホワイトハッカーを250名以上擁するRayAegisの技術力を背景に、 国内においてAIを利用した独自開発ツールを活用し、 高度なWebアプリケーション脆弱性診断やペネトレーションテストなどのセキュリティサービスをFQDN単位の一律価格にて提供しています。
AWS WAF運用最適化を実現「Cloudbric WMS for AWS」 | ペンタセキュリティシステムズ株式会社
【AWS WAF運用の最適化実現の最も効率的かつ安全な方法をご提案】
Cloudbric WMS (WAF Managed Service) for AWSは、適切なルール作成と反映、新規脆弱性の対応、誤検知の対応などAWS WAFの導入から利用までの一連のサイクルをセキュリティ専門家にてサポートする「AWS WAFに特化した運用サービス」です。
現在、多くの企業で利用されるAWS WAF。しかし複雑なルールを自社で運用する必要があるため、専門知識やリソースがない企業では運用の難しさが課題となっています。
Cloudbric WMS for AWSは ユーザ環境に最適化されたルールを反映し、脅威インテリジェンス基盤の高度化された攻撃検出性能と分析により、セキュリティ専門家がいないお客様のWAF運用をサポートします。
【こんなお悩みはございませんか？】
・ルール作成の不安 ⇒ 制限されているキャパシティー内で最適なルール構成が必要！
・脆弱性対応の不安 ⇒ 新規脆弱性の早期発見と制御の対応が必要！
・運用・管理不在の不安 ⇒ 誤検知の適切な対応ができる管理者が必要！
・設定ミス・不備の不安 ⇒ 導入・運用時設定の変更と追加の対応が必要！
Cloudbric WMS for AWSがお悩みを解決します。高度化されたカスタムルール、脅威インテリジェンスに対しての専門性、またコンサルティングサポートまでAWS運用はCloudbric WMSにお任せください。
【Cloudbric WMSの導入効果】
１．マネージドセキュリティ運用支援
２．リソース・コストの削減
３．管理負担の軽減
４．企業イメージ向上に貢献
【まずは30日無償トライアルから！】
複雑な手続きや面倒な設定は一切不要です。まずは30日無償トライアルをお試しください。
4,000円で始められるWebサイトハッキング防止！ 「アイオンクラウドWAF」 | 株式会社モニタラップ
Webサイトのセキュリティ対策を実施しなかった結果と影響範囲は、企業の経済的損失にとどまらず、信頼やブランドイメージ損失まで及びます。アプリケーションレベルで行われる攻撃がメインである昨今、 Webサイトのセキュリティ対策にWAFが必須です。
1.運用実績15000台の高機能WAFアプライアンスをクラウドサービス化
2.月4000円から、サイト詰め放題の導入しやすい価格設定
3.プロユースでも安心のサイト/URL単位の細やかなポリシー設定
リバースプロキシ型のクラウドWAFサービス
４.月間通信量20GBまで4000円という、超破格値でサイト数無制限。
柔軟なポリシー設定で本格WAFの機能をフル実装
パブリッククラウドのWAF運用はすべてWafCharmにおまかせ！ | サイバーセキュリティクラウド
AWS WAF、Azure WAF、Google Cloud Armorなどのパブリッククラウドが提供するWAFは、導入が簡単ですが、
常に検証・調整・運用を行わなければなりません。
「WafCharm」を導入すれば、パブリッククラウドWAFの複雑な設定や運用を自動化でき、セキュリティ担当者の運用を大幅に改善することが可能です。
■WafCharmとは
WafCharm(ワフチャーム）は、世界中のWebに対する攻撃パターンをAIによって学習し、AWS WAF 、Azure WAF 、 Google Cloud Armor のルールを最適化させるWAF自動運用サービスです。
アクセスログを利用して新たに発見した攻撃をもとに、サイバーセキュリティクラウド社のセキュリティエンジニアが常にシグネチャを更新。
WAFで漏れた脅威に対して数百ものシグネチャで再マッチングを行い、攻撃者と認定したIPを Blacklistで遮断します。
。
■WafCharmの特徴
①お客様環境に最適なルールの作成・設定が可能
シグネチャのカスタマイズや新規作成が可能で、お客様ごとに最適な防御を提供。
設定したルール外の攻撃にも数百のシグネチャで再マッチングができ、さらに
再マッチングで攻撃認定したものはBlacklistに自動適用できます。
②導入から新規の脆弱性対応までWAFを手放しで運用
専用機器設置やDNS切り替えなど不要で導入も簡単。
また、最新の脆弱性を専任のセキュリティリサーチャーが監視し、新規シグネチャを迅速に作成し、すぐに適用するので新たな脆弱性にもお客様の対応は不要です。
③日本のお客様を熟知した安心のサポートで誤検知時も安心。
日本人による日本語サポートと24時間365日の技術サポートがついているので
困った時も安心。※
誤検知対応や、ルールの手動入れ替えカスタマイズにも柔軟に対応しています。※
※エントリープランを除く
■月額5,000円～！導入サービスの特性に合わせて最適なサービスが選べる！
ウェブリクエスト数に合わせて選べる、エントリー、ビジネス、エンタープライズの3つのプランを用意しています。
★エントリープラン：月額5,000円～
Webリクエスト数、50万件まで
8h×5day メールサポート
★ビジネスプラン：月額50,000円～
Webリクエスト数、1,000万件まで
24h×7day メール・電話サポート
シグネチャカスタマイズ無料
★エンタープライズプラン：月額95,000円～
Webリクエスト数、1億件まで
24h×7day メール・電話サポート
シグネチャカスタマイズ無料
レイ・イージス：常識破りの脆弱性診断とペネトレーションテスト | 株式会社レイ・イージス・ジャパン
レイ・イージスの脆弱性診断は、独自開発プラグインや独自AIツールと専任セキュリティエンジニアの力を組み合わせてシステムのセキュリティホールを診断するサービスです。
大きな特長として、以下の4つが挙げられます。
パッケージ型定額サービスのため、大規模システムになるほど安価に利用可能
診断規模に関わらない定額サービスのため、事前に診断対象を絞り込む手間が不要
独自AIツールによる自動診断で、ページ数の多いECサイトでも1～5営業日の短期間診断が可能
発見項目の再診断など、追加費用無しにパッケージ内だけで手厚いアフターサポートを実施
また、レイ・イージスのペネトレーションテストは、一般的な脆弱性診断がバンドルされた完全上位互換サービスです。
まずはAIエンジンを使った脆弱性診断やプラットフォーム診断を実施し、そこから得られる脆弱性情報などを活用しながら、経験豊富な診断エンジニアが独自開発のAIエンジンによる侵入ツールを駆使して、お客様と協議の上、想定される攻撃や目標を設定してシステムへの侵入を試みます。
いずれのサービスもFQDNもしくはIP（ホスト）単位の透明性の高い固定金額となっております。お客様の手間いらずで短期間に高度な診断を低価格でご提供するサービスとなっています。
脆弱性診断サービス（システム）まとめ
個人情報やWebサービスをサイバー攻撃から守る第一歩としてセキュリティ対策をするためには、まずセキュリティの問題点（脆弱性）を見つけることが必要です。
特に脆弱性診断ツールは、ウイルス対策の実施やOSやアプリケーションのバージョンアップなど、基本的な対策の次に必要とされる対策であるとともに、比較的安価かつ短期間での実施、結果確認ができます。
更に深い調査として手動タイプも使い分けることで、安全なネット環境を実現できます。
情報漏洩やサイバー攻撃などによる甚大な被害が起きる前に、非常に費用対効果の高いセキュリティ対策として、是非導入を検討してみてください。