簡易チェックと脆弱性診断の違い|無料ツールでできることと、専門業者が必要な場面

この記事で分かること

要点は三つです。簡易チェックは、設定の不備や更新漏れを、短時間で見つけるものです。脆弱性診断は、アプリケーションの作りの問題まで調べるものです。そして、両者は代わりにはならず、順番に使うと効果的です。

比べる点	簡易チェック(無料ツール)	脆弱性診断	ペネトレーションテスト
目的	設定の不備、更新漏れ、公開されてはいけないファイルを、手軽に見つける	アプリケーションやサーバーの脆弱性を、網羅的に洗い出す	実際の攻撃を想定して、侵入できるかを確かめる
方法	公開された情報を、受動的に確認する(攻撃の試行は行わない)	ツールと、専門家の手作業で、入力値の細工などの検査を行う	攻撃者の手法を再現し、複数の弱点を組み合わせて試す
対象の範囲	ログイン前の、公開されている範囲	ログイン後の画面、入力フォーム、APIまで	システム全体や、組織の環境を含めることがある
時間	数十秒から数分	数日から数週間	数週間以上
結果	画面にすぐ表示される	報告書と、再検査の手順	報告書と、対策の提案
費用	無料のものがある	対象の規模で変わる(見積もりが必要)	対象の規模と範囲で変わる(見積もりが必要)

簡易チェックで「指摘が少ない」ことは、サイト全体が安全であることを意味しません。見られる範囲が限られているためです。

専門業者の診断は、費用と時間がかかります。診断の前に、簡易チェックで、設定の不備や更新漏れを直しておくと、診断で見つかる指摘の数を減らせ、本来調べるべき深い部分に集中できます。公開後も、設定の変更やソフトウェアの更新のたびに、簡易チェックで確認する使い方ができます。

まずは、Webサイトセキュリティチェッカー「Security Checker X」で、現在のサイトの状態を確認してみてください。URLを入力するだけで、登録なしで診断できます。結果をもとに、専門業者への依頼の要否を判断する材料にもなります。

十分とは言えません。無料のチェックは、公開されている範囲の、設定や更新の状況を確認するものです。ログイン後の機能や、入力値の処理の不備までは調べられません。守るべき情報の重要性に応じて、専門業者の診断をご検討ください。

まずは、脆弱性診断で、弱点を網羅的に洗い出すのが一般的です。診断で見つかった弱点を直したうえで、実際の攻撃を想定した確認を行いたい場合に、ペネトレーションテストを検討します。

公開前、大きな改修のあと、そして、定期的な実施(年に1回程度)が一般的な目安です。取引先や業界の基準で、頻度が定められている場合は、それに従います。簡易チェックは、設定を変えたり、ソフトウェアを更新したりするたびに行えます。

管理者の許可がないサイトの診断は、お控えください。診断の通信は、相手のサーバーに負荷をかけ、不正アクセスの試みと誤解されるおそれがあります。ご自身で管理しているサイトに限ってご利用ください。

この記事の内容を、自分のサイトで確かめたい時は、Webサイトセキュリティチェッカー「Security Checker X」をお使いください。URLを入力するだけで、登録なしで診断できます。

SSL/TLS証明書のチェック方法|有効期限・チェーン・通信方式の確認手順

Webサイトのセキュリティチェック項目30選｜確認方法つき一覧表