ASPIC公式サービス【アスピック】

  • TOP
  • 特集記事
  • 脆弱性診断サービス・ツール比較14選!選び方や無料ツールも

脆弱性診断サービス・ツール比較14選!選び方や無料ツールも

脆弱性診断サービス・ツール比較14選!選び方や無料ツールも

最終更新日:2024-02-19

脆弱性診断サービスの利用を検討しているものの、何をどう選べばいいかわからず悩んでいる方へ。自社に合った脆弱性診断サービスの種類、選び方、比較ポイント、おすすめサービス(無料ツールを含む)をご紹介します。

目次

脆弱性診断サービスとは?

脆弱性診断サービスとは、自社で開発・提供するWebサービスに対してスキャン・模擬攻撃などを行い、セキュリティ上の“穴”がないかを診断するためのサービスです。情報漏えいやなりすまし、サイト改ざんなどを未然に防ぐために実施されます。

主なタイプとして下記のようなものがあります。

  • 専門スタッフによる手動診断
  • ツールを用いた自動診断(クラウド型・ソフトウェア型)
  • 手動と自動をかけ合わせたもの

脆弱性診断サービスの必要性

従来、セキュリティは自社で担保するのが一般的でした。しかし近年は「セキュリティ人材の不足」「セキュリティ領域の専門・多様化」、更に企業に対する「サイバー攻撃の一般化」などの問題から、自社で安全を担保することが困難に。そのため、外部の専門サービスや、自動診断ツールへのニーズが高まっています。

また、コンプライアンスの厳しい大手企業を中心に、システム導入要件・入札要件に「脆弱性診断の実施」を加える企業が増加。自社でWebサービスを提供・開発している企業にとって、脆弱性診断は欠かせないものになりつつあります。

脆弱性診断サービスのメリットや利用シーン

脆弱性診断サービスを利用する具体的なメリットとしては以下が挙げられます。

  • 不正アクセス・なりすまし・サイト改ざんといったサイバー攻撃を防げる
  • セキュリティ対策にかけるコストを最適化できる
  • 第三者の客観的評価を得ることで社会的信用につながる
  • ツールによる内製化をすれば、好きなタイミングで迅速に診断が行える

また、脆弱性診断サービスを利用する際の具体的な導入目的としては、以下のようなシーンが考えられます。

  • 新しく開発したWebサービス(Webサイト)やアプリケーションの脆弱性を調べたい
  • 提供中の既存Webサービス(Webサイト)のセキュリティを確認したい
  • 機能追加をするので、リリース前に安全性をチェックしたい
  • サービス拡張に伴いセキュリティレベルを上げたい

今回は、専任のセキュリティエンジニアがいなくても、自社に合った脆弱性診断を選択できるよう、各サービスの特徴や比較ポイントなどを、近年話題のバグバウンティ対応型も含めてわかりやすくご紹介します。

脆弱性診断サービスをお探しの方は、こちらからサービス紹介資料をダウンロードいただけます。

脆弱性診断サービスの資料をダウンロード

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

 

脆弱性診断の主な診断項目

診断項目はサービスによって異なりますが、大きくは「アプリケーション診断」と「プラットフォーム診断」に分けられます。それぞれの違いは以下のとおりです。

  • アプリケーション診断…Web・スマホなどのアプリケーションの脆弱性を調べる
  • プラットフォーム診断…アプリケーションを実行するサーバーやネットワーク機器、OSやミドルウェアに脆弱性がないかを診断する

以下、どのような攻撃・診断項目があるのか、具体的に見ていきましょう。

Webアプリケーションの脆弱性診断項目(アプリケーション診断)

SQLインジェクション Webサイト、Webアプリケーションの脆弱性を突き、不正なSQL(データベースを操作する言語)文を注入する攻撃。不正なデータベース操作の危険性があるかをチェックする
OSコマンドインジェクション Webサイトに不正な入力を行い、Webサーバーに想定外の動作をさせる攻撃。OSコマンドが不正実行されないか検査を行う
クロスサイトスクリプティング Webサイトの脆弱性を突き、HTMLに悪質なスクリプトを埋め込む攻撃。Webアプリケーションを通じ、不正なスクリプトが実行されないかをチェック
クロスサイトリクエストフォージェリ(CSRF) 外部のWebサイトを経由し、自社Webサイトのユーザーに悪意のあるリクエストを送り、不正な操作を行う攻撃。不正操作(書き込み)を受ける危険性がないかを検査
ディレクトリトラバーサル 非公開ファイルが存在するディレクトリにアクセスし、不正にファイルを閲覧・利用する攻撃。外部から非公開フォルダ・ファイルを閲覧される脆弱性がないかを検査する
強制ブラウジング アドレスバーに直接URLを入力するなどして、非公開のディレクトリやファイルへアクセスする攻撃。非公開のコンテンツを不正使用される恐れがないかを検査
認証機能・アクセス制御の不備 Webサイトの設計において、セキュリティ対策が施されていない状態を指す。適切なログインを経てコンテンツにアクセスできているかを検査する

プラットフォームの脆弱性診断項目(プラットフォーム診断)

ホスト情報収集 OSやアプリケーション情報を収集し、プロダクトのバージョンなどに問題がないかを検査
ポートスキャン サーバーやネットワーク機器が利用している、TCPやUDPなどのプロトコルの検査をする
脆弱性検査 OSやソフトウェアが持つ既知の脆弱性を検査
サービス設定検査 不要なディレクトリが公開されていないか、サーバー設定に不備がないかなどを検査
アカウント検査 FTP、Telnet等の一般的に利用されている汎用サービスにおいて、推測可能なアカウントやパスワードが使われていないか検査する

 

脆弱性診断とペネトレーションテストの違い

最近注目されているセキュリティ対策に「ペネトレーションテスト」があります。脆弱性診断とペネトレーションテストは、どちらも企業のセキュリティレベルを向上させる取り組みという点では同様ですが、目的・対象範囲は下記のように異なります。

  • 脆弱性診断…システム全体の脆弱性やセキュリティ的な不備を網羅的に確認する。
  • ペネトレーションテスト…「任意の状況下で機密情報にアクセスできるかどうか」など、現実的な攻撃シナリオに基づいて攻撃耐性を確認する。

ペネトレーションテストでは、様々な技術を駆使してネットワーク接続されているシステムへの侵入を試みることで、攻撃耐性を確認します。

具体的には、外部からマルウェアやフィッシングサイトへのリンクが仕込まれた標的型メールなどを使って、あらかじめ取り決めた範囲内で実際にサイバー攻撃を仕掛けるといった手法がとられます。

中には、「株式会社レイ・イージス・ジャパン」「GMOサイバーセキュリティ byイエラエ株式会社」のように、脆弱性診断サービスとペネトレーションテストを別途提供している企業もあります。より実践的なセキュリティ対策を施したい場合は上手く使い分けたり、組み合わせたりしてみてください。

ペネトレーションテストサービスについては、「ペネトレーションテストサービスとツール12選。何を使うべきか?」で詳しく解説しています。

 

脆弱性診断サービス4つの種類と選び方

続いては、脆弱性診断サービスについて詳細に説明していきます。まず、脆弱性診断サービスのタイプは診断方法によって以下の4つに分類できます。

  1. 脆弱性診断サービス(手動診断+自動診断)
  2. クラウド型の脆弱性診断ツール(自動診断のみ)
  3. 脆弱性診断プラットフォーム(バグバウンティに対応)
  4. ソフトウェア型の脆弱性診断ツール(自動診断のみ)

診断対象や利用タイミングによって最適なサービスが異なるほか、用途や目的に応じて、上記のツール・サービスを複数使い分けているケースも。

以下、それぞれのサービスの特徴と選び方、おすすめのケースについて紹介しますので参考にしてください。

1. 脆弱性診断サービス(手動診断+自動診断)

経験豊富なセキュリティ専門技術者の知識・スキルを駆使して、脆弱性を検査してもらうタイプ。ツールによる自動診断と検査員による手動診断を組み合わせて行うため、高精度の脆弱性診断が期待できます。中には、検査だけでなく、診断内容をレポート形式で報告し、具体的な対策方法までアドバイスしてくれるサービスも。

【おすすめのケース】

  • SNS・ECサイトなどで個人情報を多数取り扱っている
  • 大規模サービスのローンチ前

【ポイント】
高品質なだけに、それなりの時間・コストがかかります。大規模開発・改修といったタイミングで実施するのがおすすめで、月に何度も実施される新機能リリース・修正リリースごとに利用するのは現実的ではありません。ローンチ前だけ手動診断を行って、その後はツールでの診断に切り替えるといった、使い分けも一手です。

中には、「Webアプリケーション診断(GMOサイバーセキュリティ byイエラエ株式会社)」のように自動+手動で診断後、自動診断ツールを1年間無償で付与してくれるもサービスも。

2. クラウド型の脆弱性診断ツール(自動診断のみ)

Web上で自ら手軽にチェックできるクラウドタイプのツール。使い方はシンプルで、クラウドサービス上でアカウントを作成したら、脆弱性を診断したいWebサービスのURLやサーバー情報を登録して、詳細な検査対象を選ぶだけ。結果が出るまで、短いもので10分程度しかかかりません。診断後は、該当URLやサマリーレポートを参照して、脆弱性が検出された箇所を自分で修正していきます。

【おすすめのケース】

  • 個人情報の扱いが少なく、脆弱性リスクがそれほど高くない場合
  • 機能追加に合わせて、限られた範囲で診断を行いたい場合

【ポイント】
Web上で手軽かつ安価・無料に利用できるため、開発者自身での脆弱性診断(内製化)を行えるのが魅力。ただし、機械的に診断が行われるため、手動を含めた脆弱性診断サービスと比べて、見逃し・誤検出が発生しやすいというリスクがあります。

3. 脆弱性診断プラットフォーム(バグバウンティに対応)

欧米を中心に、セキュリティ対策の一環として導入が進んでいる「バグバウンティ:Bug Bounty(バグ報奨金制度)」を利用するタイプです。バグバウンティとは、自社製品・サービスの脆弱性・バグの報告に対して、報奨金を支払う制度のこと。ホワイトハッカーやセキュリティエンジニアらが「バグハンター」として参加し、セキュリティの脆弱性を探します。

【おすすめのケース】

  • 定期的な脆弱性診断では心もとない場合
  • 定期診断にかかる費用が高額すぎる場合
  • 前例のない攻撃 やCVE化されていない最新の攻撃を防ぎたい場合

【ポイント】
バグバウンティなら、幅広い視点で脆弱性を診断できるうえ、成果報酬支払いのためコストパフォーマンスに優れています。たとえば、日本製の数少ないバウンディングプラットフォーム「IssueHunt」では、同社のオープンソースプロジェクト会員である何十万人ものホワイトハッカーの力を借りて、より効果的な脆弱性診断を行えます。

4. ソフトウェア型の脆弱性診断ツール(自動診断のみ)

個々のマシンにインストールして脆弱性診断を行うソフトウェア型のツールです。基本的にオープンソースのためサポートが期待できません。そのためセキュリティ診断の結果をもとに自ら改修を行うことのできることが前提となります。

【おすすめのケース】

  • 自社にセキュリティエンジニアが在籍している+コストを抑えたい
  • 自社にセキュリティエンジニアが在籍している+セキュリティ対策に関する知見を蓄積したい

【ポイント】
社内にセキュリティの専門家がいて、コストを抑えたい場合に有力な選択肢となります。また、有料ツールと併用しているケースも。

 

脆弱性診断サービスの比較ポイント

脆弱性診断サービス・ツール(クラウド型・ソフトウェア型)、何を導入・利用すべきか大まかにつかんだら、今度はその中から具体的に絞り込んでいきましょう。自社に合ったサービス(ツール)を選ぶ上で、どのような点に気をつければよいのか、比較検討ポイントをご紹介します。

診断範囲

サービス・ツールによって、Webアプリケーション・プラットフォームなど診断できる範囲は異なります。たとえば、Webアプリケーション診断の場合、クロスサイトスクリプティング対策としてのコンテンツの生成方法や、インジェクション対策としての入力方法の確認のほか、アクセス制御、セッションの管理方法、例外処理対応、コンテンツ公開設定など多岐に渡ります。

そのためまずは、「何の脆弱性を調べたいのか」「診断項目に過不足がないか」といった診断範囲をチェックしておきましょう。

診断精度(信頼性)

同じ診断範囲・項目でも、どこまで深く、細かく行うのかはツールごとに異なります。たとえば、ツールで自動診断するよりも、技術者が「どのような情報を扱うサイトで、攻撃されるならどのような方法で行われる可能性があるか」知見を活かして分析・想定して診断すると、診断への信頼性が高まります。「この項目はしっかり調べて、万全を期したい」など要望がある場合は、それにマッチした内容かを確認しておきましょう。

診断実績(導入事例)

診断範囲・精度で絞りきれない場合は、過去の診断実績を参考にするのも一手です。たとえば、個人情報を多く扱う会員向けサイトに強いのか、多くの人の目に触れるSNSに強いのか、またECサイトやネットバンキングなどのお金が絡む場合の取り扱いにも実績があるのかなど、各々強みは異なります。これまでの導入事例やサンプル報告書などを調べて、自社のサービス領域に近しいものを選ぶようにしましょう。

診断後の相談体制

セキュリティ対策で重要なのはリスクを検出することではなく、リスクにどう対処するかです。結果が出たらすぐに社内で考案・対策できれば問題ありませんが、知見を借りて対処を考えたいといったケースも多いでしょう。その場合は、具体的な対策について、レポートとして報告を受けたり、どのようにすべきか診断した技術者と相談できたりフィードバック・相談体制に強みがあるかどうかもポイントになってきます。

利用料金(価格)

料金体系はサービス・ツールによって異なります。Webアプリ、スマホアプリ、ネットワークなど診断範囲ごとに料金が必要なものもあれば、脆弱性診断というくくりで一括して診断できるものもあります。

記事後半に無料・安価で利用できる脆弱性診断ツール(クラウド型・ソフトウェア型)をまとめています。スポット的にも利用できるので、「とりあえず」の利用にもおすすめです。

利用時期(タイミング)

大掛かりな脆弱性診断は開発プロセス後の総合テストの一環として行われることがほとんどですが、ツールの中には任意のタイミングで実施できるものもあります。

たとえば、「Securify」は、自社プロダクトの開発工程の一環、もしくはアップデートや修正のタイミングで、好きな時に何度でもセキュリティ診断を実施可能。シンプルで使いやすいインターフェイスで、診断結果に合わせて修正方法まで提示してくれるため、セキュリティエンジニアがいない場合でも安心して利用できます。

サイバー保険付帯の有無

脆弱性診断サービスの中には、仮に不正アクセス等を原因として企業・事業に損害が生じた場合、それを補償してくれる、いわゆる「サイバー保険」が付帯されるものもあります。こういったものを利用すると、別途保険契約を手続きする必要がないため便利です。ただし、補償対象・上限金額はサービスによって異なるので確認しておきましょう。

 

1. おすすめの脆弱性診断サービス(手動診断+自動診断)

おすすめの脆弱性診断サービスを、Webアプリケーション診断を中心に紹介します。多くの企業では、プラットフォーム診断サービスも同様に提供しています。

脆弱性診断サービスの資料をダウンロード

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

vex(株式会社ユービーセキュア)

vex公式Webサイト

(出所:vex公式Webサイト)

経済産業省推奨のWebアプリ診断ツール。自社の診断事業だけでなく、国内の各診断ベンダー様にも利用されている「プロ品質」が強み。「自動」「手動」「自動・手動」の3つの検査方法から、その時々に応じて自由に選択可能。診断結果は用途に応じて、Excel形式の検査結果サマリシート、Word形式の検査レポートなど多種多様なレポートにして出力できる。
脆弱性診断の専門知識・経験がない方でも安心して利用できる充実のサポートも強みの一つ。導入から運用まで一貫してサポートするスタートアップパッケージ、ユーザー専用のポータルサイトなど、豊富なメニューがそろう。

  • 料金:要問い合わせ

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

Webアプリケーション診断(NRIセキュアテクノロジーズ株式会社)

Webアプリケーション診断公式Webサイト

(出所:Webアプリケーション診断公式Webサイト)

大手金融機関や東証一部上場企業にも導入実績の多い、Webアプリケーション脆弱性診断サービス。大手オンライントレード、オンラインバンキング等の扱いも豊富。診断を行う担当者は、米国の専門的なトレーニングコースを修了し、各種セキュリティ関連資格を保有するなど、高いスキルと豊富な経験を有し、技術力の高さに定評あり。
主要な部分は経験豊富な専門家が手作業(マニュアル)による診断を行い、一部診断ツールを補助的に利用する、といった診断方法。診断結果の報告も手厚く、発見・修正された問題の再診断も対応。プラットフォーム診断もあり。

  • 料金:要問い合わせ

詳細はこちら

脆弱性診断(株式会社レイ・イージス・ジャパン)

脆弱性診断公式Webサイト

(出所:脆弱性診断公式Webサイト)

「短期間の診断」「パッケージ型定額価格体系」が特徴のセキュリティ診断サービス。Webアプリケーション・モバイルアプリケーションが診断対象となる。独自AIツールを用いた自動診断であれば、ページ数の多いECサイトでも1~5営業日で診断が完了する。
診断規模に関わらない「一回いくら」の定額サービスのため、事前に診断対象を絞り込む手間が不要で、大規模システムになるほど安価に利用できるのもポイント。希望があれば、高い専門性をもったセキュリティエンジニアによる手動診断(AIリモート脆弱性診断)も受けられる。3カ月以内なら発見項目の再診断可能な手厚いアフターサポートあり。

  • 料金:自動診断30万円/FQDN、手動診断98万円/FQDN

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

AeyeScan(株式会社エーアイセキュリティラボ)

AeyeScan_公式Webサイト

(出所:AeyeScan公式Webサイト)

AIとRPAを活用したWebアプリケーション脆弱性診断サービス。たとえば、AIによるフォーム確認では、フォームの内容を自動認識して入力値を設定していくことで診断を進める。診断にかかる時間は最短で10分程度。Webセキュリティの知識やWebアプリ開発の経験がなくても、マウス操作のみで簡単に診断が可能。
自動巡回時に取得した画面遷移図で、脆弱性の検出箇所を視覚的に表示。脆弱性の評価は業界標準の脆弱性診断項目と評価基準で、全体の状況がひと目でわかるサマリーや修正に必要な技術的な詳細情報などを含んだ、理解しやすいレポーティングに強み。どこが問題なのかを正しく把握することができる。

  • 料金:要問い合わせ

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

Cloudbric 脆弱性診断(ペンタセキュリティ株式会社)

Cloudbric 脆弱性診断公式Webサイト

(出所:Cloudbric 脆弱性診断公式Webサイト)

セキュリティのプロによる柔軟性と精度の高さが強みの脆弱性診断サービス。Webサイトに特化した「Webサイト診断」「Webアプリケーション診断」「プラットフォーム診断」の3種類に対応。企業のシステム環境に応じて、必要な診断を選択できる。
既知の脆弱性の調査に加え、「深刻度×悪用度」での評価スコアリングによる対策の優先順位付けや、サイバー攻撃に対するソリューション提案・導入サポートまで実施。企業のセキュリティ対策をトータルで支援する。3種類すべての診断結果を確認できる専用の管理画面を備えており、診断の詳細や独自に収集した脅威インテリジェンスの閲覧も可能。最新のセキュリティ情報を素早く入手し、予防策を講じることができる。

  • 料金:要問い合わせ

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

Webアプリケーション診断(GMOサイバーセキュリティ byイエラエ株式会社)

Webアプリケーション診断公式Webサイト

(出所:Webアプリケーション診断公式Webサイト)

自動診断ツールと世界トップレベルのセキュリティエンジニアによる手動診断を組み合わせた脆弱性診断サービス。4つあるプランのうち自社に合ったものを提案してもらえるため、初めて脆弱性診断サービスを利用する場合から、より高度な診断を希望する場合まで柔軟に対応可能。
おすすめのポイントは、診断後も同社の脆弱性診断ツールを1年間無償で付与してもらえるところ。対象のドメインを入力するだけでA〜Eの5段階で診断結果を表示。好きなタイミングで利用することができ、B以上の評価を獲得すると同社よりサイバー攻撃対策シールが付与されるためセキュリティの証明にもつながる。

  • 料金:要問い合わせ

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

 

2. おすすめのクラウド型の脆弱性診断ツール(自動診断のみ)

URLを入力するだけで自動スキャンして脆弱性診断することのできるクラウド型の脆弱性診断ツールを紹介します。脆弱性診断サービスよりも手軽・安価に利用でき、ソフトウェア型よりも定期的なアップデート・チューニングなど運用負担が少ないのがポイントです。

脆弱性診断サービスの資料をダウンロード

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

VAddy(株式会社ビットフォレスト)

VAddy公式Webサイト

(出所:VAddy公式Webサイト)

セキュリティ診断の経験がない開発者でも手軽に利用できる、クラウド型の脆弱性診断ツール。AIエンジンが自動で学習して行うためチューニング不要。検査項目数を現実的な脅威となりうる11項目に絞ることで設定・検査実施時間を短縮。無理なく、毎日の脆弱性診断を実現できる。開発の初期段階で利用することで、リリース直前の検査に比べて修正コストを1/20に削減可能。脆弱性診断の内製化を希望する企業にはおすすめ。

  • 料金:月額59,800円(Enterpriseプラン/11項目の場合)

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら(インタビューあり)

Securify(株式会社スリーシェイク)

Securify公式Webサイト

(出所:Securify公式Webサイト)

開発時のセキュリティ対策としておすすめの脆弱性診断ツール。自社プロダクトの開発工程の一環として、もしくはアップデートや修正のタイミングで、好きなときに2,000項目に及ぶ高精度の診断を「手軽」に「何度」でも実施可能。シンプルで使いやすいインターフェイスで、わずか3ステップで診断実施できるため、自社にセキュリティエンジニアがいなくても安心。診断結果はダッシュボードで一覧化して、脆弱性の背景だけでなく修正方法まで提示。定期診断実行機能があるため、診断し忘れる心配もない。

  • 料金:月額50,000円(STARTERプランの場合)※無料プランあり

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

Web Doctor(日本RA株式会社)

NRA-Web Doctor公式Webサイト

(出所:Web Doctor公式Webサイト)

対象のFQDNまたはIPアドレスを伝えるだけで利用できるクラウド型の脆弱性検査サービス。NRAから擬似攻撃コードが送られ、Webサーバー、アプリケーションサーバーの脆弱性の有無を診断。対象のWebサーバーのネットワークとWebアプリケーションの両方を脆弱性診断できる。「1回だけ」というスポット的な利用のほか、「毎日定期的に」という柔軟なスケジュール診断も可能。

  • 料金:30万円/ライセンス

詳細はこちら

SCT SECURE クラウドスキャン(三和コムテック株式会社)

SCT SECURE クラウドスキャン公式Webサイト

(出所:SCT SECURE クラウドスキャン公式Webサイト)

セキュリティに厳しいクレジットカード業界の安全基準に準拠したクラウドスキャン。ネットワークデバイス、Webアプリケーションの弱点を一つのサービスで検査可能。メンテナンス不要、完全自己管理型のソリューション。定期的な診断によってWebサイトの抱えるリスクを可視化。診断をクリアしたサイトには安全証明マークを配信。最新の診断を受けていることをサイト訪問者にアピールできるのもポイント。

  • 料金:要問い合わせ

詳細はこちら

 

3. 脆弱性診断プラットフォーム(バグバウンティ対応)

脆弱性診断サービスの資料をダウンロード

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

IssueHunt(IssueHunt株式会社)

IssueHunt公式Webサイト

(出所:IssueHunt公式Webサイト)

セキュリティ意識の高い欧米で利用が進んでいる「バグバウンティ」「脆弱性報告窓口」を手間なく実施できるセキュリティプラットフォーム。成果報酬で幅広い視点で脆弱性診断を行えるため「定期的な脆弱性診断では、心もとない・費用が高額なので削減したい」といった企業にはおすすめ。IssueHuntなら既存のオープンソースプロジェクトに登録済みの何十万人というホワイトハッカーを通じた脆弱性報告が可能。同社が報告の一次受付も代行可能で、有効な脆弱性報告のみ伝達するほか、報告者への対応なども代行してくれるため運用負担をかけずに、有効なセキュリティ対策を行うことができる。

  • 料金:要問い合わせ

今すぐ資料をダウンロードする(無料)

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

詳細はこちら

 

4. 無料で使える脆弱性診断ツール

最後に、ソフトウェア型の脆弱性診断ツールをご紹介します。個々のマシンにインストールし、脆弱性に関する情報を格納したデータベースを用いて脆弱性をチェックするタイプです。公開資料をもとにすればそれほど複雑な設定は必要ありません。今回は、無料(フリー)で使えるオープンソースタイプのツールを3つご紹介します。

Vuls

オープンソースで、エージェントレスタイプの脆弱性スキャンツール。複数の脆弱性データベースを活かしたスキャンの精度の高さが特徴。対象サーバーにあまり負荷をかけないFastモードと、精度重視のDeepモードから選べる。スキャン結果をSlackや電子メールに通知することも可能。Linux上で動作。日本語マニュアルあり。

OpenVAS

OpenVAS(Open Vulnerability Assessment Scanner)はオープンソースの脆弱性スキャンツール。ソフトウェア、OS、ポートなどの脆弱性を確認する。GUIの設定画面で、対象サーバーのIPアドレスを設定する程度でスキャンを実行できる。実行結果のレポートも出力される。

Nikto

オープンソースのWebサーバーの脆弱性スキャンツール。インストールして利用するタイプ。イギリスのNetsparker社が支援している。Webサーバー上で危険なプログラムや古いバージョンのプログラムを使用していないか、サーバーの設定ミスをしていないかチェックできる。

 

まとめ

自社のWebサービスの安全性確保には欠かせない脆弱性診断サービス。好きなタイミングで的確な診断を受けられるだけでなく、客観的評価による社会的信用アピールの効果も期待できます。以下、要点(よくある質問)をまとめておきましたので参考にしてください。

脆弱性診断サービスの種類は?

脆弱性診断サービスには、診断方法によって以下の4つに分類できます。1.脆弱性診断サービス(手動診断+自動診断)、2.クラウド型の脆弱性診断ツール(自動診断のみ)、3.脆弱性診断プラットフォーム(バグバウンティに対応)、4.ソフトウェア型の脆弱性診断ツール(自動診断のみ)。これらの分類に加え、診断対象や利用するタイミングも考慮し最適なサービスを選びましょう。

脆弱性診断サービスの価格相場は?

脆弱性診断サービスの価格相場は、同じサービスでも実施期間、診断対象、診断項目数によって価格が変わるため、個別見積もりとなるケースが多いです。ソフトウェア型の脆弱性診断ツールは無料で使えるものもあります。なお、セキュリティ診断サービスの価格は「セキュリティ診断サービスを価格別に比較。予算に合った選び方」で詳細を解説しています。

脆弱性診断サービスのおすすめは?

  1. 脆弱性診断サービス(手動診断+自動診断)/ vex、Webアプリケーション診断、脆弱性診断など
  2. クラウド型の脆弱性診断ツール(自動診断のみ)/ VAddy、Securify、Web Doctorなど
  3. 脆弱性診断プラットフォーム(バグバウンティに対応)/ IssueHunt
  4. ソフトウェア型の脆弱性診断ツール(自動診断のみ)/ Vuls、OpenVAS、Nikto

無料で利用できるツールもあるので、セキュリティ人材の有無やかけられるコストを考慮しつつ、検討してみてください。

脆弱性診断サービスをお探しの方は、こちらからサービス紹介資料をダウンロードいただけます。

脆弱性診断サービスの資料をダウンロード

利用規約プライバシーポリシーに同意の上、
資料をダウンロードしてください。

 

インタビューやサービス詳細はこちら

vex

vex

国内各診断ベンダーにも利用されている「プロ品質」のWebアプリケーション脆弱性検査ツール。経済産業省のWebアプリ診断の推奨セキュリティツールにも選出。国内シェ...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

脆弱性診断

脆弱性診断

独自開発のプラグイン・AIツールによる「自動診断」と高い専門性をもったセキュリティエンジニアによる「手動診断」で脆弱性診断。安価な定額制でページ数の多いサイトも...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

AeyeScan

AeyeScan

AIとRPAを活用した次世代Webアプリケーション脆弱性診断SaaSです。Webセキュリティに詳しくないユーザーも簡単なマウス操作で診断を実施できます。...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

Cloudbric 脆弱性診断

Cloudbric 脆弱性診断

企業のWebサイトやシステムの脆弱性を診断するサービスです。既知の脆弱性を調査するとともに、対策の優先度設定やサイバー攻撃へのソリューション提案まで実施します。...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

Webアプリケーション診断

Webアプリケーション診断

世界1位を獲得したトップレベルのセキュリティエンジニアによる高品質の脆弱性診断。診断後も定期診断ツールが無償提供されるため、継続的にセキュリティを担保できます。...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

VAddy|インタビュー掲載

VAddy|インタビュー掲載

セキュリティ担当者がいない現場でも「今日から使える」クラウド型Web脆弱性診断ツール。固定料金だから、何度も・簡単に・高性能の脆弱性診断を実施できます。...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

Securify(セキュリファイ)

4.5 10件の口コミ・評判

Securify(セキュリファイ)

4.5 10件の口コミ・評判

導入0円、ワンストップでセキュリティ対策を実現。Webアプリケーションの脆弱性診断からSaaS診断、WordPress診断までのセキュリティ診断を網羅的かつ継続...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

IssueHunt

IssueHunt

成果報酬型で脆弱性診断を実施できる「バグバウンティ」と「脆弱性報告窓口」を手間なく実施できるプラットフォーム。顧客情報や情報資産をサイバー攻撃やハッキングから守...

利用規約プライバシーポリシーに同意の上、資料をダウンロードしてください。

このページの内容をシェアする

  • Facebook
  • Twitter
  • LINE
TOPへ戻る

資料ダウンロードフォーム

1分で簡単登録。無料

入力フォームはこちら

登録済みの方はこちら

パスワード再発行

アスピックご利用のメールアドレスを入力ください。
パスワード再発行手続きのメールをお送りします。

アンケートにご回答ください。

サービスの導入検討状況を教えてください。

  • 資料請求後に、当該資料に含まれる「サービス提供会社」や弊社よりご案内を差し上げる場合があります。
  • ご案内のため、アスピックにご登録いただいた会員情報を弊社より「サービス提供会社」に対して電子データにて提供いたします。
  • 利用規約とプライバシーポリシーに同意の上、ダウンロードいただきます。

ご回答ありがとうございました。

ご登録いただいているメールアドレスにダウンロードURLをお送りしています。ご確認ください。

CLOSE