1.0ハイブリッドテクノロジーズhttps://hybrid-technologies.co.jp/blogHT Blog Adminhttps://hybrid-technologies.co.jp/blog/author/ht_admin_blog/rich600338<blockquote class="wp-embedded-content" data-secret="93LUl8zzNV"><a href="https://hybrid-technologies.co.jp/blog/knowhow/20230425/">脆弱性診断（セキュリティ診断）とは？必要性、種類、進め方を徹底解説</a></blockquote><iframe sandbox="allow-scripts" security="restricted" src="https://hybrid-technologies.co.jp/blog/knowhow/20230425/embed/#?secret=93LUl8zzNV" width="600" height="338" title="“脆弱性診断（セキュリティ診断）とは？必要性、種類、進め方を徹底解説” — ハイブリッドテクノロジーズ" data-secret="93LUl8zzNV" frameborder="0" marginwidth="0" marginheight="0" scrolling="no" class="wp-embedded-content"></iframe><script type="text/javascript"> /* <![CDATA[ */ /*! This file is auto-generated */ !function(d,l){"use strict";l.querySelector&&d.addEventListener&&"undefined"!=typeof URL&&(d.wp=d.wp||{},d.wp.receiveEmbedMessage||(d.wp.receiveEmbedMessage=function(e){var t=e.data;if((t||t.secret||t.message||t.value)&&!/[^a-zA-Z0-9]/.test(t.secret)){for(var s,r,n,a=l.querySelectorAll('iframe[data-secret="'+t.secret+'"]'),o=l.querySelectorAll('blockquote[data-secret="'+t.secret+'"]'),c=new RegExp("^https?:$","i"),i=0;i<o.length;i++)o[i].style.display="none";for(i=0;i<a.length;i++)s=a[i],e.source===s.contentWindow&&(s.removeAttribute("style"),"height"===t.message?(1e3<(r=parseInt(t.value,10))?r=1e3:~~r<200&&(r=200),s.height=r):"link"===t.message&&(r=new URL(s.getAttribute("src")),n=new URL(t.value),c.test(n.protocol))&&n.host===r.host&&l.activeElement===s&&(d.top.location.href=t.value))}},d.addEventListener("message",d.wp.receiveEmbedMessage,!1),l.addEventListener("DOMContentLoaded",function(){for(var e,t,s=l.querySelectorAll("iframe.wp-embedded-content"),r=0;r<s.length;r++)(t=(e=s[r]).getAttribute("data-secret"))||(t=Math.random().toString(36).substring(2,12),e.src+="#?secret="+t,e.setAttribute("data-secret",t)),e.contentWindow.postMessage({message:"ready",secret:t},"*")},!1)))}(window,document); //# sourceURL=https://hybrid-technologies.co.jp/blog/wp-includes/js/wp-embed.min.js /* ]]> */ </script> https://hybrid-technologies.co.jp/blog/wp-content/uploads/2023/04/ht-blog-20230420_01-thumbail-min.jpg312312脆弱性診断（セキュリティ診断）とは、アプリケーションやサーバー・ネットワークなどに、セキュリティ面でのリスクがないかどうか判断するために行われるテストです。本記事では、脆弱性診断の意味や必要性、種類などをわかりやすく解説します。 ハイブリッドテクノロジーズの開発サービスはこちら 脆弱性診断（セキュリティ診断）とは 脆弱性診断とは、Webアプリケーションやスマホアプリケーション、サーバー・ネットワークなどを対象に、脆弱性がないかどうか判断するテストを指します。 脆弱性診断には「ブラックボックステスト」や「ホワイトボックステスト」と呼ばれる方法があります。ブラックボックステストとは、攻撃パターンを送って対象の挙動をチェックする方法です。アプリケーションなどの実装後における脆弱性を検出することを主な目的として行われます。 ブラックボックステストはソースコードの中の脆弱性を検出することには適していないため、ソースコードの脆弱性をチェックする際はホワイトボックステストを行います。ホワイトボックステストはその内容から「ソースコード診断」と呼ばれることもあります。また、ホワイトボックステストはプログラムを実行して行う「動的解析」と、実行しないで行う「静的解析」に細分化されます。 脆弱性診断は、診断する対象や目的、認知したい脆弱性などによってさまざまな実施方法があります。設計から開発、リリースや運用など、実施するタイミングによってもその意味合いが異なります。脆弱性診断はこれらの条件に基づいて、適切なタイミングで適切な診断を実施することで、セキュリティ上の問題に対処することが求められます。 そもそも「脆弱性」とは 脆弱性とは、アプリケーションやサーバー・ネットワークなどを開発する過程で発生するセキュリティ上の欠陥のことです。言葉の通り「脆（もろ）くて弱い性質」であることから、この脆弱性がサイバー攻撃などのターゲットにされることがあります。 脆弱性が存在するソフトウェアに必ずしも被害が生じるわけではありませんが、外部からの攻撃といった脅威がもたらされ、被害が生じることがあります。 脆弱性診断の必要性とは 情報セキュリティ事故の未然防止 脆弱性を検出して適切に対策することで、外部からサイバー攻撃などを受ける可能性を抑えられます。また、社員による不正や情報の持ち出しといった事態に備えることも可能です。 情報セキュリティ事故が発生すれば、復旧や対策に追われることとなります。企業イメージを守るためにも、事故を未然に防ぐことが重要と言えます。 サービス利用者の安心を守る 買い物や仕事をオンラインで行うなど、現在はインターネットが生活に欠かせないものとなりました。脆弱性診断によってセキュリティ対策を行うことは、生活や経済を守るとともに、サービス利用者の安心を守ることに繋がります。 脆弱性診断の主な種類と診断対象 脆弱性診断は、診断する対象などによってさまざまな方法に分けられます。本項では、代表的な脆弱性診断の種類とその対象について解説します。 脆弱性診断 診断対象 Webアプリケーション診断 ・Webアプリケーション・CMS ネットワーク診断 ・Webサーバー・ネットワーク機器 ソースコード診断 ・Webアプリケーションのソースコード スマホアプリ診断（ネイティブアプリ診断） ・スマートフォンアプリ・API 標的型攻撃リスク診断 ・メール環境 ハイブリッド診断 ・Webアプリケーション プラットフォーム診断 ・CMS・ミドルウェア・サーバーOS・ネットワーク 脆弱性診断とペネトレーションテストとの違い 脆弱性を検出するテストとして、脆弱性診断の他に「ペネトレーションテスト」があります。ペネトレーションテストとは、擬似的にサイバー攻撃を行うことでセキュリティを評価するテストです。実際にシステムへの侵入を試みることから、ペネトレーション（penetration・侵入）テストと名付けられ、日本では「侵入テスト」と呼ばれることもあります。 攻撃対象とする組織の構成・業務手順・業務を行う施設の特徴などを加味し、より具体的な攻撃シナリオを作成してペネトレーションテストを実行することもあります。このようなテストは「レッドチーム演習」もしくは「レッドチーミングオペレーション」などと呼ばれています。 このようなテストを行うことで、攻撃側がシステムに侵入できるかどうか、ターゲットとなる情報にたどり着けるかどうかといった点をチェックします。脆弱性診断は脆弱性を検出することが目的であるのに対し、ペネトレーションテストは攻撃が成功するかどうか実際に確認することが目的であると言えるでしょう。ペネトレーションテストは実践的なテストであるため、より高度な知識やセンスが必要です。 脆弱性診断ツールと手動診断の特徴について ツール診断とは、コンピュータープログラムの一種である脆弱性診断ツールを使って行う診断です。プログラムを実行して得られる応答から脆弱性を発見する方法であり、その特徴から自動診断と言われることもあります。 それに対して、技術者が自ら検査することを手動診断と言い、ツールを使った診断よりも細かな検査ができる特徴があります。ツール診断と手動診断のどちらが優れているかという点よりも、それぞれのメリットを生かし、状況や予算などに応じて行うことが大切です。 次項から、ツール診断と手動診断、それぞれの特徴について詳しく解説します。 ツール診断による脆弱性診断の特徴 ツール診断では、セキュリティ対策を目的としたサービスを開発・提供しているセキュリティベンダーによるツールを用いて脆弱性を発見します。不正なHTTPリクエストを送ることによる疑似的な攻撃を行いますが、システムを実際に壊してしまうことはありません。 ツール診断は比較的手軽で、コストを抑えて実施できるため、開発段階から実施されるケースも多く見受けられます。また、定期的に実施することで、常にシステムを適切な状態に保つことを目的として使われることもあります。 ツールによる機械的な診断であることから、誤って脆弱性が検知されることもあります。人の手によって結果を確認し、補正することが求められます。 手動診断による脆弱性診断の特徴 手動診断は、セキュリティの知識を持った技術者であるセキュリティエンジニアによって行われます。セキュリティに関する専門知識やノウハウを持ったエンジニアであるため、ツールを使った機械的な診断では見逃してしまう点も発見できるメリットがあります。 また、ただ単に脆弱性を発見するだけではなく、より良い対策方法を提案してくれることがある点も、手動診断の特徴と言えるでしょう。 脆弱性診断ツールの診断内容 […]