脆弱性診断（セキュリティ診断）とは、システムやネットワーク・アプリケーションに存在するセキュリティ上の欠陥（脆弱性）の有無を特定し、評価するプロセスを指します。

診断によって脆弱性を洗い出し、迅速に修正することで、企業・組織のセキュリティ強化を図ることができます。

本記事では、脆弱性診断（セキュリティ診断）の種類やサービスの選び方などを解説します。

「脆弱性診断を検討中」「今後、検討の機会があるかもしれない」担当者様は、ぜひご一読ください。

また、本記事では「LANSCOPE プロフェッショナルサービス」の脆弱性診断についてもあわせてご紹介します。

「はじめて脆弱性診断を実施する」「何からはじめたら良いのかわからない」という方に向けて、わかりやすく解説しているので、ぜひご確認ください。

脆弱性診断（セキュリティ診断）とは

脆弱性診断・セキュリティ診断とは、システムやネットワーク・Webアプリケーションに存在する、セキュリティ上の弱点や欠陥（脆弱性）を特定し、修正やリスク評価をおこなうプロセスのことを指します。

脆弱性診断を定期的に実施することで、攻撃者に悪用されるリスクのある脆弱性を事前に洗い出し、先んじて対策を講じることが可能です。

また、診断で発見された脆弱性は「共通脆弱性評価システム（CVSS）」に基づいて、その危険度を評価することが可能です。

CVSSとは、情報システムやソフトウェアの脆弱性の深刻度を示す国際的な評価指標です。

危険度を明らかにすることで、対策すべき脅威の優先順位がつけられるようになり、限られたリソースの中で効率的に脅威に対処できるようになります。

脆弱性とは

脆弱性とは、システムやネットワークに生じる、設計ミスやプログラムの不備から生じたセキュリティ上の欠陥のことです。 脆弱性は、設計ミスや人為的なミス（ソースコードの記述ミスやシステム設定の誤り）などによって生じます。

攻撃者はこの脆弱性を悪用してシステムに不正アクセスし、データの窃取や改ざん、破壊といった不正行為を引き起こす可能性があります。

サイバー攻撃で悪用される脆弱性の例としては、以下が挙げられます。

▼サイバー攻撃で悪用される脆弱性の例

脆弱性の種類	概要
SQLインジェクション	攻撃者がWebアプリケーションの入力フィールドに悪意のあるSQLクエリを挿入し、データベースの情報を取得、変更、または削除する攻撃
クロスサイトスクリプティング（XSS）	攻撃者がWebページに悪意のあるスクリプトを埋め込み、訪問者のブラウザ上で実行させる攻撃
クロスサイトリクエストフォージェリ（CSRF）	ユーザーが認証済みのセッションを持っていることを利用し、ユーザーの意図しないリクエストを発行させる攻撃
セッションハイジャック	攻撃者がユーザーのセッションIDを盗み、そのユーザーになりすましてシステムにアクセスする攻撃
ディレクトリトラバーサル	攻撃者がWebサーバーのディレクトリ構造を不正にアクセスし、機密ファイルを取得する攻撃
バッファオーバーフロー	プログラムのメモリ管理における脆弱性を悪用し、攻撃者がメモリ内のデータを上書きすることで、任意のコードを実行する攻撃

これらは、侵入の足がかりとして頻繁に悪用される脆弱性なので、とくに注意が必要です。

脆弱性診断（セキュリティ診断）の必要性

脆弱性診断は、攻撃者に狙われるリスクを低減させるために実施します。

多くのサイバー攻撃は、脆弱性を悪用し、システムやネットワークに不正アクセスしたり、マルウェアを仕掛けたりします。
つまり脆弱性を放置することは、自ら攻撃者にスキを与えているようなものです。

攻撃者に狙われるリスクを低減させるためには、定期的に脆弱性診断を実施し、攻撃者に悪用される前に脆弱性を修正する必要があります。

また、脆弱性診断は、単に「脆弱性を発見する」だけでなく、脆弱性によるリスクの影響度を評価・優先順位付けまでを実施します。

限られたリソースの中で着実に脆弱性を修正するためにも、脆弱性診断は重要なプロセスといえるでしょう。

脆弱性診断（セキュリティ診断）とペネトレーションテストの違い

ペネトレーションテスト（侵入テスト）は、システムやネットワーク、アプリケーション、その他のITインフラに対して、攻撃者の視点からセキュリティ評価をおこなうプロセスです。

脆弱性診断とペネトレーションテストは、どちらもシステムやネットワークの脆弱性を発見し、セキュリティ対策を強化するための手法ですが、下記のような違いがあります。

▼脆弱性診断とペネトレーションテストの違い

項目	脆弱性診断 (Vulnerability Assessment)	ペネトレーションテスト (Penetration Testing)
目的	既知の脆弱性を特定し、リスクを評価する	実際の攻撃者の視点から脆弱性を悪用し、防御力を評価する
期間	・1週間から数週間程度 ・比較的短期間で完了する	・数週間から数か月 ・システムによっては、テスト実施のための準備や体制構築にも時間を要するため、長期間かかることがある
頻度	・半期や1年ごとなど、定期的なタイミング ・システムが開発されたタイミング ・重大な脆弱性が公表されたタイミング	・同業他社がサイバー攻撃を受けたタイミング ・そのほか、必要になったタイミング ※業界によっては定期的な実施を求められるケースもある
結果	・脆弱性のリスト ・それぞれのリスクレベル ・修正方法の提案	・攻撃シナリオと結果 ・具体的な脆弱性の悪用方法 ・潜在的な被害の詳細
対象	・特定の対象（ネットワークセグメント、サーバー、アプリケーションなど）	・システム全体やネットワーク全体など広範囲が対象
コスト	・ペネトレーションテストよりも低コスト	・脆弱性診断よりも高コスト

ペネトレーションテストは、攻撃者の視点に立ち、実際にシステムに対して攻撃を仕掛けることで、現状のセキュリティ対策の有効性や被害規模を調査することを目的に実施されます。

脆弱性診断がWebアプリケーションやネットワークなど特定の領域に対しておこなわれるのに対して、ペネトレーションテストは対象を限定せず、システムやネットワーク全体を対象とする特徴があります。

ペネトレーションテストの実施には、高度な専門知識が求められるため、脆弱性診断と比較すると、コストが高額になりやすいという特徴もあります。

脆弱性診断とペネトレーションテストは、相反するものではなく、相互補完の関係にあるといえるでしょう。

脆弱性診断（セキュリティ診断）の種類

脆弱性診断は、診断の対象によってさまざまな種類が存在します。

本記事では、エムオーテックス株式会社（以下、MOTEX）が提供する脆弱性診断の種類についてご説明します。

それぞれどのような診断なのか解説します。

Webアプリケーション診断

Webアプリケーション診断とは、インターネットやローカルネットワークに接続されたサーバー上のWebアプリケーションにおいて、脆弱性を検出するための診断です。

MOTEXの脆弱性診断においても最も問い合わせが多い診断です。

Webアプリケーション診断における主な診断内容は、以下の通りです。

サーバ設定	プラットフォームの設定や実装方法に不備が存在しないか検査する
アプリケーション	Webアプリケーションの実装方法に不備が存在しないか検査する
通信	Webアプリケーションとサーバー間の通信に関して不備が存在しないか検査する
セッション管理	セッションIDの取り扱いに不備が存在しないか検査する
認証	ログインなどの認証時に不備が存在しないか検査する
アカウント管理	ログインアカウントの取り扱いに不備が存在しないか検査する
パラメータ操作	Webアプリケーションから送信されるパラメータを改変することで脆弱性が発生しないか検査する
クライアント側スクリプト	Webアプリケーションで使用されているスクリプトに不備が存在しないか検査する
モバイル固有の問題	モバイルデバイスに起因する脆弱性が存在しないか検査する
その他	上記以外に脆弱性が存在しないか検査する

参照元：Webアプリケーション診断　検査区分・診断項目│LANSCOPE プロフェッショナルサービス

たとえば、ECサイトにログインする際の「認証機能」に脆弱性があると、エラーメッセージからIDやパスワードのパターンが絞り込むことができてしまい、ブルートフォース攻撃やパスワードリスト攻撃の被害に遭う可能性が高まります。

ブルートフォース攻撃とは、想定されるすべてのパスワードのパターンを総当たりで入力し、認証の突破を試みるサイバー攻撃手法です。

Webアプリケーションは、攻撃を仕掛けられる範囲や手法の幅が広く、攻撃者に狙われやすいという特性を持ちます。

昨今、アプリケーションを業務利用する企業は増えています。安全に業務を遂行するためにも、Webアプリケーション診断は不可欠な診断プロセスといえるでしょう。

Webアプリケーション診断についてより詳しく知りたい方は、下記のページまたは、Webアプリケーション脆弱性の重要性と対策の必要性などをわかりやすくまとめた資料をご確認ください。

ソースコード診断（ホワイトボックス診断）

ソースコード診断とは、ソフトウェアのソースコードを解析し、セキュリティ上の脆弱性やバグ、潜在的な問題などを明らかにする診断です。

通常のセキュリティ診断は、外部から得られる情報のみを使っておこなう「ブラックボックス診断」が一般的です。

一方で、ソースコードやシステムの設計書、仕様書といった内部情報を使っておこなう診断を「ホワイトボックス診断」と呼びます。

ソースコード診断は、このホワイトボックス診断の一種で、網羅的な分析が可能です。

Webアプリケーションのソースコードそのものを調査することで、ブラックボックス診断だけでは検出できない脆弱性を洗い出し、対策することが可能となります。

MOTEXでは、ソースコード診断とWebアプリケーション診断をセットで実施することを推奨しています。

ネットワーク診断（プラットフォーム診断）

ネットワーク診断とは、サーバーやネットワーク機器・OSにおけるセキュリティ上のリスクを洗い出し、修正するプロセスを指します。

社内・社外のネットワークを問わず脆弱性・設定ミスを診断し、不正侵入やマルウェア感染などのリスクに繋がる脆弱性を特定することで、対策を講じることが可能になります。

ネットワーク診断には、リモート診断とローカル診断の2種類があります。

リモート診断	インターネットを経由して、リモート環境からネットワーク機器やサーバーに対して脆弱性診断をおこなう
ローカル診断	実際に顧客のオフィスやデータセンターにエンジニアが訪問し、内部ネットワークから脆弱性診断をおこなう

リモート診断は、インターネットから対象の機器にアクセス可能な、不特定多数からの脅威に対するリスクを調査することができます。

一方でローカル診断は、内部犯や組織内に侵入したランサムウェアなど、内部からの脅威に対する潜在的なリスクを調査することが可能です。

クラウドセキュリティ診断

クラウドセキュリティ診断は、お客様が利用中のクラウドプラットフォームにおいて、設定や運用におけるセキュリティ上の不備を検出し、リスクに対する対策を提供するサービスです。

クラウドセキュリティ診断を実施することで、クラウドサービスの認証や管理関連の設定ミスを改善し、不正アクセスや情報漏洩などのリスクを低減できます。

昨今、テレワークやリモートワークの拡大で、オフィス以外で業務をする機会も増えており、それに伴いインターネットにつながれば利用できるクラウドサービスの利用は拡大しています。
そのため、利用中のクラウドサービスに脆弱性がないかを診断することは、重要性を増しています。

MOTEXが提供するクラウドセキュリティ診断の種類は以下の通りです。

SaaS セキュリティ診断	・Microsoft 365 診断 ・Google Workspace 診断 ・Zoom 診断 ・Box 診断 ・Salesforce診断 ・Slack診断
IaaS セキュリティ診断	・Amazon Web Services（AWS）診断 ・Microsoft Azure 診断 ・Google Cloud Platform（GCP）診断

クラウドサービスの利用が拡大したことで、クラウドサービスの脆弱性を狙ったサイバー犯罪の件数も増加しています。

クラウドサービスは日々、ベンダーより新機能が追加・変更されるため、利用者側の気づかぬうちに仕様変更や設定漏れが生まれる可能性があります。

積極的にクラウドサービスを活用している場合は、クラウドセキュリティ診断の定期的な実施がおすすめです。

MOTEXでは、中小企業の情シス1,000人に対して「クラウドサービスのセキュリティ対策」の実態調査をおこないました。

他社は、どれくらいの頻度でクラウドサービスの設定確認を実施しているのか、どのようにセキュリティ対策を講じているのかなど、他社の実態が知りたい方は、ぜひ本記事とあわせてご確認ください。

スマートフォンアプリケーション診断

スマートフォンアプリケーション診断は、サーバ上のアプリケーションとスマートフォンやタブレット端末にインストールされたアプリケーションの両方の視点からセキュリティ上のリスクを確認するサービスです。

昨今、スマートフォンやタブレットなどを業務に利用する機会も増えており、セキュリティ上の脅威も拡大しています。
そのため、PCと同程度のセキュリティ対策を講じる必要があります。

MOTEXのスマートフォンアプリケーション診断は、スマホアプリケーションにおける、高度なセキュリティ確保をトータルで支援するサービスです。

スマートフォンアプリケーション診断（クライアント）	・スマートフォンやタブレットにインストールされたアプリケーションが、個人情報など重要情報を保持している場合の情報漏洩リスクの確認 ・root権限の奪取／脱獄（Jailbreak）された場合のリスク確認
スマートフォンアプリケーション診断（サーバー）	・スマートフォンやタブレットにインストールされたアプリケーションと、サーバー上のアプリケーションが連携されており、動的な機能を有している場合のサーバー上のアプリケーションのリスクの確認 ※動的な機能：データの入力チェック処理やデータベースの更新処理など
セキュア開発ガイドライン	・スマートフォンやタブレットのアプリケーション開発ガイドラインの提供 ・必要に応じて教育も提供可能

スマートフォンアプリケーション診断についてより詳しく知りたい方は、下記のページをあわせてご確認ください。

ゲームセキュリティ診断

ゲームセキュリティ診断とは、攻撃者（チーター）の視点でゲームアプリケーションの脆弱性を診断し、それらのチート行為リスクを可視化するプロセスです。

ゲームアプリにおける「チート行為」の例としては、「ステージの不正開放」「アイテムの無限増殖」「課金処理の回避」「キャラクターの不正強化」などが挙げられます。

ゲームセキュリティ診断では、サーバーやクライアントアプリに対して、攻撃者の視点でチートによるリスクを確認するブラックボックス診断と、ソースコードの解析によりチート行為の可能性をプログラムレベルで深く検査するソースコード診断の2種類を用いて、チート行為を可能にする脆弱性を洗い出します。

ゲームセキュリティ診断（サーバー）	ブラックボックス診断	・対象ゲームを攻撃者（チーター）視点でプレイし、実施の操作から発生する通信を改ざんし、チート行為の可否およびリスクを評価する
	ソースコード診断 ※オプション	・対象ゲームのソースコードを攻撃者（チーター）視点で解析し、チートができる可能性のある箇所を特定したうえで、対象ゲームが実際にチート可能かどうかの検証を実施する
ゲームセキュリティ診断（クライアント）	ブラックボックス診断	・対象ゲームのクライアントアプリに対して、保持データや振る舞いを分析・改ざんし、チート行為の可否およびリスクを評価する

IoT診断

IoT診断は、インターネットやローカルネットワークに接続した「IoTシステム」の各レイヤーにおいて、セキュリティリスクを検出し対策を提案するプロセスです。

IoT（アイオーティー）とは、Internet of Thingsの略で、家電製品や自動車・医療機器など、従来インターネットに接続されていなかった「モノ (Things)」をネットワークで繋げることで、相互に情報通信をおこなうサービスを指します。

IoTを活用した身近な例としては、スマート家電やタクシーの配送アプリ、スマートウォッチなどが挙げられます。

近年、各企業でIoTシステムの開発や導入が進んでいますが、仮にIoTシステムがサイバー攻撃にあった場合、情報の窃取・盗聴だけでなく、利用者に対する直接的な被害や、サービスの停止によって社会的混乱に発展するリスクなども想定されます。

IoT診を実施することで、IoTシステムを構成するアプリケーション・デバイス・プラットフォームに潜むセキュリティリスクを総合的に見える化することができます。

脆弱性診断（セキュリティ診断）の手法

脆弱性診断には、主に「手動診断」と「ツール診断」の2つの手法があります。
2つの手法の特徴を解説します。

手動診断

手動診断は、サイバーセキュリティの専門家が対象システムを手作業で検査する手法です。

専門家の経験と知見を活かすことで、設計上の問題など機械的には検出が難しい脆弱性も発見することが可能です。

一方で、専門家の関与が必要なため、費用が高く、結果が出るまでに日数がかかる傾向があります。

ツール診断

ツール診断は、自動化ツールを使って検査する手法です。

ブラウザ上から簡単に実施できるため、短時間で結果が得られ、コストが抑えやすいといった傾向があります。

ただし、脆弱性の検出精度がツールの能力に依存するため、手動診断ほど網羅的・精密な検査はおこなえなかったり、最新の脆弱性への対応がツールベンダーに依存したりといったデメリットもあります。

また、サイトの仕様によってはツールの設定が複雑になり、適切に診断ができない可能性もあります。​

このように「手動診断」と「ツール診断」は、それぞれにメリット・デメリットを持ち合わせています。

	手動診断	ツール診断
メリット	・精度が高い ・詳細な診断が可能	・短期間かつ安価で実施可能
デメリット	・結果が出るまで日数がかかる ・費用が高い	・詳細な診断は難しい

日常の簡易的な検査であれば「ツール診断」、年に数回の厳密な調査、サービスリリース前の調査などは「手動診断」など、目的や社内のリソースに応じて、使い分けることが推奨されます。

脆弱性診断（セキュリティ診断）サービスの選び方

脆弱性診断サービスを選ぶ際には、以下のポイントを意識するようにしましょう。

6つのポイントを詳しく解説します。

1．診断できる範囲

まずはサービスの提供する診断範囲が、自社が希望するシステムの仕様に対応しているかを確認しましょう。
たとえば、アプリケーションやネットワーク、ソースコードなど、自社が診断したい範囲に対応しているサービスを選ぶ必要があります。

また、サービスの診断項目が希望する診断項目や脆弱性診断のガイドラインをカバーしているかも確認しましょう。

2．診断の深さ（手法）

脆弱性診断サービスを選ぶ際は、自動診断ツールに加え、専門家による手動診断が可能かどうか確認しましょう。

前述した通り、手動診断は専門家の手作業でおこなわれるため、自動ツールでは見つけることができなかった脆弱性が発見される可能性があります。

ただし手動診断の場合でも、対応範囲はベンダーによって異なるため、「手動でどのような検査をおこなのか」「どこまで深掘りしてくれるのか」などはあらかじめ確認しておくようにしましょう。

3．報告書の内容と質

診断結果の報告書のわかりやすさも、サービス選びの判断基準となります。

内容の詳細さはもちろん、下記のようなポイントを確認することを推奨します。

事前に「診断書サンプル」などを活用し、脆弱性の具体的な説明、影響度、修正方法の提案が含まれているかを確認するとよいでしょう。

4．費用

脆弱性診断は一回実施したら完了というものではなく、定期的に実施する必要があるものです。
そのため、費用が自社の要件に見合うかどうかも確認すべきポイントです。

他社の同サービスとも比較検討し、 診断の範囲や深度に応じた適正な価格設定かを確認しましょう。

単発で利用するのか、年間で複数回の診断を想定するのかによっても、最適なプランは異なります。

5．専門家の経験や資格

サービスの提供元の実績や経験も確認すべきポイントです。

信頼できるベンダーかどうかを判断するためにも、実務経験や過去の実績、認定資格の有無を確認しておくとよいでしょう。

6.カスタマイズの可否

診断の内容や方法、あるいは報告書に必要な情報を、自社のニーズに合わせてカスタマイズできるかも確認したいポイントです。
たとえば、以下の要件を満たすサービスは、セキュリティ担当者が長く付き合いを検討する上で、心強い存在となるでしょう。

脆弱性診断・セキュリティ診断には「LANSCOPEプロフェッショナルサービス」

「LANSCOPE プロフェッショナルサービス」では、プロフェッショナルの知見で最新のセキュリティ脅威に対抗する脆弱性診断・セキュリティ診断を提供しています。

インシデント情報や脆弱性情報などを定期的に収集・解析し、適宜診断ルールに反映しているため、常に最新のセキュリティ基準をもとにした診断の提供が可能です。

「LANSCOPE プロフェッショナルサービス」の脆弱性診断・セキュリティ診断は、国家資格をもつ経験豊富なスペシャリストが、お客様の利用環境に潜む脆弱性・セキュリティリスクを網羅的に洗い出し、効率的な脆弱性対策をサポートします。

診断後のレポートでは、各脅威の種類やリスクレベルだけでなく、「適切な対策内容」もあわせてお伝えするため、着実な脆弱性の修正とセキュリティレベル向上を目指していただけます。

「自社環境やサービスの脆弱性に懸念がある」「診断ツールではなく、プロの目による診断を受けたい」という企業・組織の方は、ぜひ「LANSCOPE プロフェッショナルサービス」の活用をご検討ください。

お客様のご都合・予算などに応じて、最適なプランをご紹介させていただきます。

「何からはじめて良いかわからない」「まずは簡易的に脆弱性診断をおこないたい」という方に向けて、低コスト・短期で診断が実施できる「セキュリティ健康診断パッケージ」もご用意しています。

企業・組織のセキュリティ強化を目指す担当者の方は、ぜひご確認ください。

クラウドサービスの設定を見直しには「クラウドセキュリティ診断」

MOTEXでは、脆弱性診断に加えて、クラウドサービスの設定ミスをプロが診断し、セキュリティ事故の要因を根本から改善する「クラウドセキュリティ診断」を提供しています。

「多要素認証」をはじめ、アクセス権限の見直しや認証方法の設定など、不正ログインの火種となる設定不備を洗い出し、専門のベンダーが正しい対策を提案します。

IT技術の進化や働き方に多様化がみられる昨今、クラウドサービスを業務で利用する機会も増えています。

思わぬところに脆弱性が放置され、攻撃者に狙われることがないように、適切に対処するようにしましょう。

クラウドセキュリティ診断を実施することで、攻撃者による不正アクセスだけでなく、内部不正による情報漏洩なども防ぐことが可能です。

「クラウドセキュリティ診断」について詳しく知りたい方は、下記のページをご確認ください。

脆弱性診断に関するよくある質問

最後に「脆弱性診断」に関するよくある質問と回答を解説します。

脆弱性診断はどれくらいの頻度でおこなうべきですか？

脆弱性診断は、最低でも年に一回は実施することが望ましいとされています。

また、新しいシステムを導入した際や変更された際、また新しい脆弱性が発見された際などは、都度追加の診断をおこなうことが推奨されます。

脆弱性診断の結果には何が含まれますか？

脆弱性診断の結果には、下記の項目が含まれます。

報告書を社内で活用する場合は、事前にどのような内容が含まれるかを確認しておくことが推奨されます。

脆弱性診断の費用はどれくらいですか？

費用は診断の範囲、システムの規模、使用するツール、提供されるサービスのレベルによって異なります。一般的には数十万～数百万「以上」までと、幅広く提供されています。

脆弱性診断の結果をどのように活用すれば良いですか？

脆弱性診断を実施したら、修正すべきもの・リスクを許容するものなどを検討し、適切なリスク管理に取り組むことが重要です。

脆弱性を放置してしまったり、対応を後回しにしてしまったりすると、攻撃者に狙われるリスクが高まります。

優先度をもとに、迅速に対応するようにしましょう。

また、モニタリングと診断は継続的におこない、セキュリティ対策の効果を確認し続けることも重要です。

まとめ

本記事では「脆弱性診断・セキュリティ診断」をテーマに、種類や必要性、選び方などを解説しました。

脆弱性診断・セキュリティ診断は、システムやアプリケーションのセキュリティを確保し、企業・組織が安全で信頼性の高いサービスを提供し続ける上で必要不可欠です。

安定した企業運営を継続するためにも、定期的な診断実施をご検討ください。

MOTEXでは、「どの診断を選んだらいいかわからない」「何からはじめるべきなのかわからない」という方に向けて、フローチャート付きの資料を用意しています。

本記事とあわせてぜひご活用ください。