脆弱性診断の種類と方法について

  • メールボタン
03-6311-6600
お問い合わせボタン
コラム
dit security

脆弱性診断の種類と方法について

人の手で行う手動診断


脆弱性診断には主に2つの種類があります。
これまで受けたことがない場合は、どのような種類があるのか違いなどがわからないでしょう。
それぞれ特徴が異なるため、2つの種類について知っておくことが大切です。
1つは、手動診断です。
これは、人の手で脆弱性診断を行うもので、セキュリティの専門知識のある人が直接検査をして結果を報告します。
手動診断を行う方法は、検査をしたいWEBアプリケーションの構成を確認した上で詳細な画面遷移図を作成し、検査する範囲を検討していきます。
画面遷移図の数や、その中で送信されるパラメータ数が多くなると、費用も高くなっていくのが特徴です。
時間もかかるため、予算や目安の期間から重要なものだけに絞ったり、その結果に応じて範囲を広げたりしていくのが一般的な流れです。
また、検査方法も依頼主の希望に沿って項目をカスタマイズすることができます。
脆弱性診断を行う会社で儲けている項目は異なりますが、どの会社も認証まわりやセッション関連の項目は含まれている傾向にあります。
手動診断のメリットは、人の目で判断しないと認識することが難しい問題点が発見できるなど精度が高いことや、結果のフォローアップができる、柔軟性が高いなどが挙げられますが、検査を行う人のスキルがばらついていたり、時間と費用がかかるなどのデメリットがあるため注意してください。

ツールを使った自動診断


もう1つの種類は、自動診断です。
手動とは異なり、ツールを利用して問題点を発見する方法です。
使用するツールによって難易度は大きく変わってきますが、セキュリティの専門家以外でも自ら実施できるという特徴があります。
まずはツールをインストールし、ネットワークや診断基準などを設定していきます。
対象箇所に対しては擬似的な攻撃リクエストを送信し、その結果を記録していくものですが、指摘箇所の確認が必要です。
場合によっては誤検知することもあるため、改修、再診断していきます。
メリットは、低コストで行えることや時間も比較的短いことが挙げられます。
また、何度でも行うことができ、全体的に漏れなく検査していくことが可能です。
しかし、実際には脆弱性に関する知識がないと使いこなせないツールや、全ての画面遷移を網羅できない場合があるため、要注意です。
このようにそれぞれ特徴があるため、理解した上で検討する必要があります。