いくらやってもやりすぎという事はないのがセキュリティ対策。何かあってからでは遅いので、企業であれば自社に必要なセキュリティ対策を実施しているのは常識だろう。しかし、どこまでやれば安心ができるのか、目に見えるものでもないだけに、その判断がむずかしい。かぎりある費用とセキュリティ対策とのバランスも考慮しなければならない。悩みに悩むひとり情シスがここにもひとりーーー

脆弱性とは、OSやソフトウェアにおけるプログラムの不具合や設計ミスなどに起因するセキュリティ上の欠陥（＝セキュリティホール）のこと。

脆弱性があるまま放置すると、悪意のある第三者に攻撃されたり、ウイルスの感染に利用されたりしてしまうため、脆弱性に対しては素早い対応が必要である。

OS・ソフトウェアの脆弱性が発見されてから、それに対するセキュリティパッチ（修正プログラム）が公表され、エンドユーザがパッチを適用するまでの期間に存在する脆弱性（Nデイ脆弱性）や、脆弱性が発覚してから修正プログラムがリリースするまでの間のゼロデイ脆弱性がある。

脆弱性診断とは、OSやミドルウェア、Webアプリケーションの他、ネットワークやサーバなどに脆弱性がないかを診断することだ。

脆弱性診断を行うことで、攻撃を受ける前にセキュリティの問題点を見つけ、早期に対策することができるぞ。

近年、サイバー攻撃は多様化しており、その対策が重要視されている。
悪意のある攻撃者はあらゆる手段を講じて、セキュリティホールを突いてくる。攻撃者より先に脆弱性を発見し対策することで、情報セキュリティの事故を予防することができるのだ。
今やWebサイトやアプリは事業活動にはなくてはならないツールの一つになっており、それをユーザが安心して使えることは、企業のブランド毀損を防ぐことにもつながるのだ。
事業の維持・拡大にはなくてならないセキュリティ対策の一つと言えよう。

^{※JPCERT/CC
日本の代表的なコンピュータセキュリティ調査機関で、コンピュータセキュリティの情報を収集し、インシデント対応の支援、セキュリティ関連情報の発信などを行う一般社団法人}

^{※PCI SSC（Payment Card Industry Security Standards Council）
アカウントデータ保護に関するグローバル規模の協議会
American Express、 Discover Financial Services、 JCB International、 MasterCard、 Visa Inc. によって運用、管理されている。}

脆弱性診断の種類としては、以下の3つが挙げられる。脆弱性診断の種類によっては診断対象も異なる。この章ではそれぞれの対象について解説するぞ。

サーバ上で稼働する、Webアプリケーションが対象となる。
WordpressなどのCMSや、独自のアプリケーションに対して、手動もしくはツールを活用し攻撃者目線での類似攻撃を実施、その結果を解析・診断をすることで、脆弱性を発見するのだ。
SQLインジェクションやクロスサイトスクリプティング、なりすましといった脆弱性の発見につながる。
個人情報を扱うWebサイト、例えば会員サイトやECサイトなどを運営している企業などが実施するケースが多い。

インターネット上に公開されているサーバやネットワークを対象とした脆弱性診断。
サーバOSやミドルウェア、ネットワークなどに対して、既知の脆弱性への対策ができているかであったり、ネットワークやサーバの安全性を検査する。
インターネット経由で公開サーバやWebアプリケーションの脆弱性を診断するリモート診断や、クライアントの内部ネットワークから、内部サーバの安全性や内部からの脅威について診断するオンサイト診断がある。

ペネトレーションテスト（略：ペンテスト）とは、ペネトレーション=侵入の名の通り、ホワイトハッカーが疑似的な攻撃を仕掛けてセキュリティ対策の状況をチェックする手法だ。
あらゆるハッキングツール・技術を駆使して脆弱性箇所に攻撃を実行し、システムやアプリケーション内部に侵入できるかを試行する。
実際に攻撃された際に、セキュリティ機能が回避されてしまう・無効化されてしまうかどうかを確認することができる。
標準型攻撃など、脆弱性診断ではカバーできない手法で内部侵入を試みる近年のサイバー攻撃に対する対策として有効なテストである。
実際に攻撃シナリオを作成して攻撃していく形になるため、テストにかかる時間も数日～数週間かかるものが多い。

脆弱性診断は、実際に攻撃をした際、セキュリティが有効かどうかを診断するものではないが、網羅的に診断することが可能で、かかる時間も数分程度である。

脆弱性診断サービスを利用するのが一般的だが、そのサービスでも自動診断と手動診断がある。
自動診断とは、脆弱性診断ツールを実行し、その応答情報から脆弱性診断を行うもので、ツール診断とも言われる。
例えばWebアプリケーション診断では、不正なHTTPリクエストを送信して疑似攻撃を行うといったことも実施する。
ツール実行結果を一覧化して、誤検知がないかをチェックするところまでを自動診断として提供しているサービス事業者もいる。

手動診断は、セキュリティエンジニアが自らの手で診断をすることである。ツールなどで機械的にチェックできないような問題などを検知する場合に利用される。

自動診断の場合、網羅的に検査しあくまでも脆弱性（の可能性）を見つけることが目的であり、誤検知の問題はどうしても発生してしまう。
実施自体は低コストで手軽にできる内容になるため、定期的なチェックなどに向いている手法だ。

対して手動診断は、ツールでは見落とされてしまう脆弱性（例えば画面遷移や分岐など）に対してもチェックすることができる。
脆弱性の再現や対策方法まで提示してもらえるため、より詳細に診断したい場合に活用できる手法だ。

定期的なチェックは自動診断で、大きな改修などがあった時は手動診断を行うなど、コストや頻度、状況に応じて選択してくとよいだろう。

セキュリティに関する万能ツールであり、脆弱性診断も得意とするところなのだ。