はじめに
目的
本書は、Webセキュリティ診断の基礎と実践的な手法を分かりやすく解説することを目的としています。WebサイトやWebアプリの脆弱性を見つけて修正する手順や、診断で注目すべきポイントを具体例を交えて説明します。
対象読者
- サイト運営者や開発者
- 情報システム担当者やセキュリティ初心者
- セキュリティ対策の優先順位を知りたい経営者
基本的なWebの仕組みが分かれば読みやすい構成です。
本書で得られること
- 診断の目的と代表的な脆弱性の理解
- 自動診断・手動診断・ペネトレーションテストの違い
- ツールやサービスの選び方、診断の進め方
実務で使える知識を優先して紹介します。
使い方と注意点
章ごとに段階的に学べます。まず第2章で基礎を確認すると理解が深まります。診断を実施する際は、必ず対象の所有者から許可を得てください。本書は入門ガイドであり、実際の脆弱性検査では専門家の支援を検討してください。
Webセキュリティ診断とは何か？
定義
Webセキュリティ診断は、WebサイトやWebアプリ、関連するサーバやネットワークの安全性を点検し、弱点（脆弱性）を見つける作業です。専門家や専用ツールを使い、攻撃される前に問題を洗い出します。
目的
主な目的は情報漏えいや不正アクセス、サービス停止のリスクを減らすことです。診断で見つかった問題に対策を講じることで、実際の被害を未然に防げます。
対象範囲（具体例で説明）
- Webページの入力フォーム：外部から入るデータで動作が崩れないか（例：入力欄に特別な文字を入れて挙動を確かめる）
- 認証まわり：ログイン機能に不正に入れないか（例：簡単なパスワードで突破されないか）
- サーバ設定：公開すべきでない情報が見えていないか（例：管理画面が誰でもアクセスできないか）
誰が行うか
社内の担当者が行うこともありますが、外部の専門業者に頼むことが一般的です。外部の視点で見つかる問題も多く、安全性が高まります。
頻度と効果
定期的（例：年1回、重要更新時）に診断すると、運用段階での見落としを減らせます。小さな不具合を早期に直すことで大きな事故を防げます。
注意点
診断は“終わり”ではなく“始まり”です。診断で見つかった脆弱性を優先順位を付けて修正し、再診断で確認することが重要です。
診断でチェックされる主な脆弱性項目
以下は診断で重点的に確認する主な脆弱性です。各項目は情報漏えいや不正操作の入り口になります。簡単な例と対策も併せて説明します。
SQLインジェクション
説明：入力値がそのままデータベースに渡り、意図しないSQLが実行される脆弱性です。
例：ログインフォームに「’ OR ‘1’=’1」を入れると認証をすり抜ける可能性があります。
対策：プレースホルダ（パラメータ化）でSQLを実行し、入力値を検証します。
OSコマンドインジェクション
説明：入力からシステムコマンドが組み立てられ、任意のコマンドが実行される問題です。
例：ファイル名パラメータに「; rm -rf /」が入ると危険です。
対策：外部コマンドの実行を避け、どうしても必要なら入力を厳しく制限します。
クロスサイトスクリプティング（XSS）
説明：悪意あるスクリプトがページに混入し、他ユーザーの情報を盗む攻撃です。
例：掲示板にでしれっとスクリプトを埋め込むケース。
対策：出力時にHTMLエスケープを行い、信頼できない入力はそのまま表示しません。
クロスサイトリクエストフォージェリ（CSRF）
説明：利用者が意図しない操作を第三者に実行される攻撃です。
例：ログイン中に外部サイトの画像読み込みで送金処理が走る可能性。
対策：トークン（CSRFトークン）をフォームやリクエストに付与して検証します。
ディレクトリトラバーサル
説明：ファイルパスを操作して、本来アクセスできないファイルに到達する問題です。
例：../ を使ってシステムの設定ファイルを取得するなど。
対策：ファイル名を正規化し、許可された範囲だけを扱います。
強制ブラウジング
説明：URLを直接推測して管理画面や未公開ページに到達する手法です。
例：/adminや/backup.zipに直接アクセスされるケース。
対策：認証・権限チェックを全ページで行い、予測可能なURLを避けます。
認証・アクセス制御の不備
説明：ID/パスワード周りや権限設定のミスで不正アクセスを許す問題です。
例：一般ユーザーが管理機能へアクセスできる状態。
対策：最小権限の原則を採り、パスワード強度や多要素認証を導入します。
セッションハイジャック
説明：セッションIDが盗まれて他人にログインされる攻撃です。
例：Cookieを盗まれて乗っ取られるシナリオ。
対策：セキュア属性やHTTPOnlyを付け、セッションの再生成や有効期限管理を行います。
診断手法の種類と特徴（自動診断・手動診断・ペネトレーションテスト）
自動診断
自動診断はツールを使い、短時間で多くの既知の脆弱性をチェックします。たとえばSQLインジェクションやクロスサイトスクリプティング（XSS）、設定ミスの検出に強いです。メリットは速度とコストの低さ、定期スキャンに向く点です。デメリットは誤検知や見逃しがある点で、業務ロジックの不具合は検出しにくいことがあります。
手動診断
手動診断はセキュリティ専門家が実際に操作して調査します。複雑な脆弱性や複数の問題を組み合わせた攻撃（例：認証バイパスや権限昇格）を発見できます。利点は精度の高さと実践的な検証です。欠点は時間と費用がかかる点で、通常は重要なリリース前や疑わしい挙動がある場合に行います。
ペネトレーションテスト（侵入試験）
ペネトレーションテストは手動診断の一種で、実際に侵入を試みて影響範囲を確認します。ブラックボックス（外部から）、ホワイトボックス（内部情報あり）、グレイボックス（部分情報あり）といった手法があります。実運用に影響を与える可能性があるため、事前に範囲とルールを明確にして実施します。
選び方の目安
- 定期的な網羅性が必要なら自動診断を導入します。
- 重要な機能や顧客データを扱う場合は手動診断を追加します。
- 高リスクや法令対応が求められる場合はペネトレーションテストを検討します。
組み合わせることで効果が高まります。
診断サービス・ツールの選び方と比較ポイント
診断範囲とリスクの一致
まず診断対象（Webサイト、API、管理画面など）とリスク（顧客情報、決済、業務停止など）を明確にします。例：ログイン機能が重要なら認証まわりを重点的に診断する業者を選びます。
自動診断・手動診断の使い分け
自動ツールは幅広く短時間で検出します。手動診断は複雑な脆弱性を見つけます。重要度に応じて自動＋手動のハイブリッドを検討してください。
料金と費用対効果
価格だけで決めず、検出範囲と再検査の有無を確認します。月額か都度か、保守込みかを比較します。
レポートの精度と分かりやすさ
修復手順や再現手順が明確か、優先度が付いているかをチェックします。スクリーンショットや攻撃例があると対応が早くなります。
アフターサポートと実績
脆弱性の補修支援、再診断、SLAの有無を確認します。同業種での実績や顧客レビューも参考にしてください。
自社運用か外部委託か
小規模ならツール導入で自社対応、大規模や高リスクなら専門業者に委託すると安心です。運用リソースと専門知識で判断してください。
無料ツールの位置づけ
無料ツールは初期スクリーニング向けです。簡単な脆弱性は見つかりますが、カバー範囲や精度に限界があります。本格対策は有料サービスや手動診断を推奨します。
選定チェックリスト（簡易）
- 診断範囲は合っているか
- 自動/手動のバランスは適切か
- レポートは具体的か
- 価格に再診査やサポートは含まれるか
- 実績・評判、契約条件（NDA等）は十分か
これらを基に複数社の見積りやトライアルを比較し、実際の診断サンプルを確認すると選定が確実になります。
Webセキュリティ診断の流れと実施タイミング
1. 事前準備・ヒアリング
診断の目的や対象システム、利用者数、公開環境（本番・ステージング）を確認します。アクセス制限やログの取得方法、影響範囲の許容度も明確にします。例：ECサイトなら決済機能の確認や停止時間の可否を詰めます。
2. 診断範囲決定
テストするURLやAPI、サブドメイン、ログインアカウントを決めます。除外するページや時間帯もここで定めます。範囲が広いと費用と期間が増えるため、優先度を付けて進めます。
3. 診断実施
自動診断で広くスキャンし、手動で深掘りします。実施中は影響を最小にするために段階的に進め、重大な問題が見つかれば即時報告します。例：SQLインジェクション疑いは優先調査します。
4. レポート作成・報告
発見した脆弱性をリスクの高低で分類し、再現手順と推奨対策を提示します。非技術者向けの説明も添えて、修正優先度が分かるようにします。
5. 脆弱性修正
開発側が修正を行い、修正内容と適用日時を共有します。修正時には根本原因の解消を重視し、暫定対応だけに終わらせないようにします。
6. 再診断
修正後に再度検査して問題が解消しているか確認します。重要な機能はリグレッションテストも行います。
実施タイミングの目安
- 新規公開前：リリース前に必ず実施して重大問題を防ぎます。
- システム改修後：機能追加や外部連携の際に実施します。
- 定期運用中：半年〜1年ごとに実施して劣化や新たな脆弱性を検出します。
- その他：重大インシデント後や外部ベンダー導入時も実施が望ましいです。
代表的な無料診断ツールとその特徴
概要
初心者や中小事業者が手軽に始められる無料のWebセキュリティ診断ツールを紹介します。簡単な脆弱性や設定ミスを早期に発見できますが、検査範囲は限定的です。社内や顧客の重要なサービスには専門家の診断を検討してください。
主な無料ツールと特徴
- トレンドマイクロ Webサイト安全性チェック
- URLを入力するとマルウェアやフィッシング判定、簡易評価を返します。使い方が分かりやすく初歩的な確認に適します。
- iLogScanner
- サイトの既知脆弱性や誤設定を自動検出します。小規模サイトの定期チェックに便利です。
- WEBセキュリティ診断くん
- XSSや簡単なSQLインジェクションの検出を行います。技術的な初期診断に向きます。
- OWASP ZAP（オープンソース）
- ブラウザ連携で手動検査と自動スキャンが可能です。学習しながら使えます。
- SSL Labs（Qualys）
- SSL/TLS設定の詳細な評価を提供します。暗号設定の見直しに有用です。
無料ツールの限界
- スキャン範囲が狭く、認証領域や業務ロジックの不具合は検出しにくいです。誤検知も発生します。複数ツールの併用で見落としを減らしてください。
使い方のポイント
- 本番ではなくテスト環境で実行するか、事前に許可を得てください。ログは残して担当者と共有します。結果は出力を保存し、優先度の高い問題から対処します。
次のステップ
無料ツールで問題の傾向が分かったら、有料の手動診断やペネトレーションテストを検討してください。重要なシステムは専門家による深掘りが必要です。
