はじめに
本記事の目的
本記事は、Web脆弱性診断の基礎をわかりやすく伝えることを目的としています。診断の必要性、主な方法、診断の流れや手順、代表的なツール、結果の活用法、サービス選定のポイント、無料ツールの紹介などを網羅します。実務にすぐ役立つ情報を目指します。
背景と重要性
昨今はWebサイトやWebアプリの利用が広がり、攻撃対象も増えています。例えば、フォームの不備で個人情報が漏れる、管理画面が改ざんされるといった被害が現実に起きています。脆弱性診断はそうしたリスクを事前に発見し、対策を進めるための重要な手段です。
想定読者
- 開発者や運用担当者
- セキュリティ初心者やこれから学ぶ人
- 経営者やサイト管理者
読み方のコツ
各章は独立して読みやすく作っています。まずは全体をざっと読んでから、気になる章を詳しく読むと理解が深まります。具体例を交えながら丁寧に説明しますので、安心してお読みください。
Web脆弱性診断とは
定義
Web脆弱性診断とは、WebサイトやWebアプリケーション、API、Webサーバーなどが持つセキュリティ上の弱点（脆弱性）を発見し、攻撃による情報漏えいや不正アクセス、改ざんなどのリスクを未然に防ぐための調査・分析のことです。具体的にはシステムの挙動を確認し、想定外の入力で不正な動作を引き起こす箇所を探します。
診断対象と代表的な脆弱性
- 診断対象：Webアプリ、ログイン機能、API、ファイルアップロード機能、サーバー設定など
- 代表例：SQLインジェクション（入力からデータベースへ不正命令）、クロスサイトスクリプティング（XSS、悪意あるスクリプトの挿入）、ディレクトリトラバーサル（ファイル参照の不正）、認証・セッション管理の不備
診断の目的と成果物
目的は被害発生前に脆弱性を見つけて対策することです。診断後は発見した脆弱性の詳細、再現手順、危険度評価、対処方法（修正案）を報告書として受け取ります。
診断の手法と実施者
- 手法：自動スキャンと手動確認を組み合わせます。自動ツールで広く検出し、人が再現や誤検知の確認を行います。
- 実施者：社内の担当者やセキュリティベンダーが行います。外部に委託する場合は適切な権限と範囲を決めて実施します。
注意点
診断はシステムに影響を与える可能性があるため、本番環境で行う際は事前合意とバックアップが重要です。
なぜWeb脆弱性診断が必要なのか
問題の深刻さ
サイバー攻撃は年々巧妙化し、Webサイトは常に標的になります。脆弱性を放置すると、個人情報や機密情報の漏洩、画面改ざん、サービス停止などの被害が発生します。たとえば、ログイン情報が漏れると不正ログインや二次被害につながります。
被害の具体例
- 個人情報流出：顧客情報が外部に流出し損害賠償や信用低下を招きます。
- サービス停止：業務が止まり売上や利用者信頼を失います。
- 改ざん・不正利用：不正なコンテンツ掲載やフィッシングに悪用されます。
法令・ガイドライン対応
個人情報保護法やPCI DSSなどの基準に沿うには、脆弱性診断と対策の記録が重要です。監査で証拠提出を求められることが増えています。
診断を行う利点
脆弱性を早期に発見して修正すれば被害を未然に防げます。定期的に診断することで開発段階から安全性を確保できます。コスト面でも、事後対応より対策が安上がりになりやすいです。
導入のポイント
まず対象範囲を明確にし、優先度の高い脆弱性から対処してください。定期診断と修正の運用ルールを整えることが重要です。
Web脆弱性診断の主な方法と特徴
脆弱性診断には主に「ツール診断（自動診断）」と「手動診断」の二つがあります。ここではそれぞれの特徴と、実際にどんな場面で有効かをわかりやすく説明します。
ツール診断（自動診断）
- 概要：自動化ツールがWebサイトやAPIを幅広くスキャンして既知の脆弱性を検出します。
- 長所：短時間で広範囲をチェックでき、コストが抑えられます。定期的なチェックや初期診断に向きます。
- 短所：誤検知（false positive）や見落としが出やすく、業務ロジックに起因する特殊な脆弱性は検出しにくいです。
- 具体例：SQLインジェクションやXSSの既知パターンは自動で見つかることが多いです。
手動診断
- 概要：セキュリティの専門家が実際に操作しながら脆弱性を探します。
- 長所：複雑な業務フローや個別仕様に起因する問題を発見しやすく、精度が高い報告を得られます。
- 短所：時間と費用が増えます。診断者のスキルに結果が左右されます。
- 具体例：多段階ログインや独自認証の欠陥を手作業で確認する場面。
ペネトレーションテスト（侵入想定検査）
- 概要：手動診断の一種で、実際の攻撃者視点でシステムへの侵入を試みます。目的は実践的なリスク評価です。
- 特徴：脆弱性が悪用された際の影響や、侵害経路の特定に役立ちます。実施範囲（外部攻撃のみ、内部含む等）を事前に決めます。
選び方のポイント
- 目的：早期発見や定期チェックならツール診断、深いリスク評価や重要サービスなら手動やペネトレーションが適します。
- コストと期間：予算やリリーススケジュールに合わせて使い分けましょう。
- おすすめ：日常は自動診断を回し、重要な変更時や年1回程度で手動／ペネトレーションを実施すると効果的です。
Web脆弱性診断の一般的な流れ・手順
1. 診断対象の洗い出し・情報収集
まず対象の範囲を決めます。対象はWebサイト、API、管理画面などです。画面一覧や機能、利用する外部サービス、利用者の想定を整理します。サンプル：ログインフォーム、ファイルアップロード機能、決済画面など。
2. 自動診断ツールによるスキャン
OWASP ZAPやNiktoなどで既知の問題を素早く検出します。ツールは大量のURLやパラメータをチェックできるため、短時間で網羅性を高めます。注意点としてステージング環境で実行し、本番での誤検知や過負荷を避けます。
3. 手動診断・詳細調査
自動で検出しにくい論理的な欠陥やビジネスロジックの問題を専門家が調べます。例：認可欠落、並行処理による不整合、セッション管理の不備。攻撃手順の再現（PoC）を作成して確度を高めます。
4. 診断結果の分析・リスク評価
発見した脆弱性を影響度（情報漏えい・改ざん・サービス停止など）や発生しやすさで分類します。優先度を付け、対応の順序を明確にします。開発側と協議して業務影響を確認します。
5. レポート提出・改善提案
技術的な説明、再現手順、修正案、優先度を含む報告書を作成します。修正後はリテストで問題が解消されたか確認します。コミュニケーションを密にし、改善が確実に行われるよう支援します。
主要な脆弱性診断ツールと特徴
OWASP ZAP
オープンソースで使いやすいGUIツールです。自動スキャンで既知の問題を検出し、プロキシとして動作して手動でリクエストを調べることもできます。初心者は自動スキャンで全体を把握し、慣れてきたら手動で詳しく調べると効果的です。例：ログイン後のページで不正な入力を試す場合に便利です。
Burp Suite
プロの現場で広く使われるツールです。プロキシ機能と豊富な拡張があり、細かい手動診断が得意です。無料版でも基本的な機能が使えますが、自動化や高度な機能は有料版が必要です。例：フォームの細かい挙動や認証フローを詳しく確認できます。
Nikto
Webサーバー向けのコマンドラインスキャナーです。よくある設定ミスや既知の脆弱性を多数チェックします。動作は速く結果も分かりやすいですが、誤検知もあるため手動確認を必ず行ってください。例：古いディレクトリ一覧や危険なファイルを検出します。
Arachni
Rubyで作られたスキャナーで、並列処理に強く精度が高い点が特徴です。自動で多数のテストを実行できます。Webアプリ全体を短時間でスキャンしたいときに向きます。
選び方のポイント
扱いやすさ、コスト、目的（自動で広く調べるか、手動で深掘りするか）で選んでください。まずはZAPや無料版Burpで慣れ、必要に応じてNiktoやArachniを組み合わせると実務で役立ちます。
診断結果の活用と定期的な診断の重要性
診断結果をどう読むか
診断報告は、発見した脆弱性ごとに説明と再現手順、重大度が記載されます。再現手順をそのまま試せば問題の有無を開発側で確認できます。まずは「影響範囲」と「再現性」を確認してください。
優先度の付け方（リスク評価）
- 高: 攻撃で機密情報流出やサービス停止が起きる可能性が高いもの
- 中: ログイン回避や限定的な情報漏えいにつながるもの
- 低: 条件が揃わないと悪用されにくいもの
優先度は影響度と発見しやすさで決めます。例として管理画面の認証バイパスは高優先度です。
修正の進め方と運用改善
- 修正チケットを作り、再現手順と推奨対応を明記します。
- 開発で修正→ステージングで回帰テスト→本番リリースの流れを標準化します。
- 緊急時はWAFで一時的にブロックする、ログ監視を強化するなどの暫定対策を取ります。
再診断と回帰確認
修正後は同じ手順で再診断（回帰テスト）を行い、問題が確実に解消されたか確認します。自動スキャンだけでなく手動での確認も行うと安心です。
定期診断の頻度とタイミング
- リリース直後：都度診断
- 定期：月次／四半期／年次は組織のリスクによって決定
機能追加やライブラリ更新があるたびに診断を行えば、新たな脆弱性を早期に発見できます。
組織での活用方法
- 結果は関係者に共有し、対応状況をチケット管理で可視化します。
- ナレッジ化して、同様の問題が再発しないよう教育に活用します。
注意点
診断は終点ではなくプロセスの一部です。定期的に診断を繰り返し、修正と運用改善を継続してください。
脆弱性診断サービス選定時のポイント
診断範囲・内容
診断が自動ツールのみか、手動による深掘りが含まれるかを確認してください。APIや認証が必要な箇所、社内向けサービスやクラウド環境にも対応できるか具体例で聞くと良いです（例：ログイン後ページ、REST/GraphQL API、AWS設定等）。
レポートの分かりやすさ
脆弱度の深刻度、再現手順、影響範囲、修正方法を明確に示すレポートが望ましいです。経営層向けの要約と技術者向けの詳細を分けてくれるか確認しましょう。
サポート体制
診断前後の窓口、緊急対応、質問への応答速度を確認してください。診断中の作業時間帯や調整方法も重要です。
診断実績
同業種や同規模の実績、過去の発見事例、第三者の評価があるかを確認します。参考になるなら問い合わせ先や導入企業名を教えてもらいましょう。
費用感
基本料金、対象範囲の上限、追加作業の単価を明確にしてもらってください。期間契約や定期診断パッケージの割引も比較対象にします。
アフターフォロー
修正後の再検証、修正支援（技術助言やパッチ例）、定期診断の推奨頻度を確認しましょう。
質問リスト（例）
・手動検査は何時間／対象あたりか
・APIや認証あり環境の追加料金はあるか
・レポートのサンプル提供は可能か
これらを基準に、要件と予算に合うサービスを比較すると選びやすくなります。
無料で使える診断ツール・サービス
概要
初期診断や学習目的では無料ツールが役立ちます。手軽に脆弱性の傾向を掴み、動作や用語に慣れるには最適です。ただし精度や検出範囲に限界があるため、本番の網羅的診断には有償サービスや専門家の介入を検討してください。
無料ツールの主な種類
- 自動スキャナ：Webサイトを自動で走査し一般的な脆弱性を検出します（例：SQLインジェクション、XSS）。
- コマンドラインツール：細かい攻撃手法や検証に使います。スクリプトで自動化しやすいです。
- ブラウザ拡張：画面上でのリクエストを確認し簡易チェックできます。初心者にも扱いやすいです。
- オンラインサービス：URLを入力すると簡易診断を返すサービス。セットアップ不要で手軽です。
代表的な無料ツールと用途（例）
- OWASP ZAP：GUIで使いやすく自動スキャンと手動検査に対応します。学習に向きます。
- sqlmap：SQLインジェクションの自動検出と攻撃検証に特化しています。
- Nikto：サーバ設定や既知の脆弱ファイルをチェックします。
- Nmap（スクリプト）：ネットワークやサービスの調査に便利です。
- Burp Suite Community：手動検査用の基本機能を備えています。自動化は限定的です。
利用時の注意点
- テスト範囲を必ず明確にしてください。許可のない対象へのスキャンは禁止です。
- 自動検出は誤検知や見逃しがあります。重要な判断は手動確認で補完してください。
- 実運用環境で実行する際は業務影響を考慮し、時間帯や負荷対策を行ってください。
学習や初期の把握には無料ツールが非常に有効です。しかし、本格運用や高精度な診断には有償ツールや専門家の診断を併用することをお勧めします。
補足：OSINTやGoogle Hacking、SNS情報収集
OSINTとは
OSINT（公開情報収集）は、インターネット上で誰でも見つけられる情報を体系的に集める手法です。たとえば企業の公開資料、ドメイン情報、公開FTPや掲示板の投稿などが対象になります。脆弱性診断では初動調査として有効です。
Google Hacking（Google Dorks）
Google検索の特定演算子を使い、意図せぬ公開情報を見つけます。たとえば”filetype:sql site:example.com”でデータベースファイルの露出を探せます。強力ですが誤用は問題になるため、許可範囲を守って実施してください。
SNS情報収集
TwitterやLinkedInなどの投稿、プロフィール、写真から内部情報や利用技術を推測できます。人名や役職、メールアドレスの手がかりが得られるため、ソーシャルエンジニアリング対策の一環にも役立ちます。
実践の流れとポイント
- 範囲と許可を明確化する。2. 公開情報を整理し、リスクにつながる要素を特定する。3. 手動とツールを併用して確認する（例: Shodan、theHarvester、OSINT Framework）。
法的・倫理的注意
必ず事前に対象の同意を得て実施してください。公開情報でも踏み込み過ぎる調査やアクセスは違法になる恐れがあります。
簡単な対策例
・不要な情報の公開制限、・公開ディレクトリの確認、・社員向けSNS利用ルールの整備などを行ってください。
