セキュリティ・脆弱性診断無料ツール・有料サービスの比較と選び方

会社のWEBサイトやネットワークのセキュリティが大丈夫か心配！ という方の多くは、「セキュリティ・脆弱性診断ツール・サービス」の使用を考えますが、実際どのツール・サービスを利用すれば良いかわからない。という方も多いようです。

ある程度知識があれば無料ツールから選んで実施することができますが、しっかりとその情報を知らないと的確なものを選ぶことはできません。

今回はそのようなセキュリティ・脆弱性診断ツール・サービスの概要や選び方、さらには無料ツールや有料サービスの特徴まで。セキュリティ診断の実施を考える際には確実に知っておく必要がある情報を整理しましたので、しっかりとチェックしてください。

セキュリティ・脆弱性診断とは

コンピュータやネットワーク、ソフトウェア等の情報システムを保守・運用していく上で重要な機能に対して、今後行われるだろうサイバー攻撃を様々な観点から考察し、対処する事でセキュリティを高める事を意味します。

情報システムを脅かす脅威は多く存在しており、自社の保有する重要な機密情報や個人情報を外部に流出させる事が無いようにするには、情報システムの脆弱性やセキュリティが堅実なのかを確認しておく必要性があります。

診断の必要性と実施のメリット

脆弱性の一例として挙げられるのが、情報システムのソフトウェアの設計ミスやプログラムコードのミスによって生じる「セキュリティホール」です。

セキュリティホールを放置していると、悪意のあるユーザーによって不正に外部からコンピュータへと不正アクセスを許す可能性があり、不正アクセスを通じて情報システムへの侵入や内部データの改ざん、情報漏洩等の被害を防ぐためにも、セキュリティ・脆弱性診断を通じて、生じる可能性のある問題を未然に防ぐ必要があるのです。

この未然に防ぐことが可能になることが、セ診断を行うことの最大のメリットです。

セキュリティ診断には、ある程度知識があれば無料で利用できるツールのものと、有料になりますが専門家にお任せして調べてもらうサービスが

[無料編]セキュリティ・脆弱性診断ツール

まずは無料のツールを紹介させていただきますが、ここであげるツールは、ある程度知識がないと利用できないものが多いので、エンジニア経験のない人にはあまり向かないかもしれません。

また「何を診断するのか」をしっかりと理解していないと「どのツールを利用すれば良いかもわからない」という状態になってしまうので、あまり知識がないという方は、素直に有料のサービスを利用することをお勧めします。

無料診断ツールでできること比較

ここでは、無料で利用できるツールとしてメジャーなものを５つピックアップしました。
それぞれどのような目的なツールで何ができるのか、概要を把握しておきましょう。

ツール名	対象	特徴
OWASP ZAP	webアプリケーション	初心者でも使える、簡単さが魅力
Burp Suite	webアプリケーション	ローカルProxyを中心に構成
Nikto	webアプリケーション ミドルウェア	辞書ベースで脆弱性診断を行うツール
Nmap	ネットワーク	不要なオープンポートからネットワークの脆弱性を発見
Nessus	ネットワーク	ローカルProxyを中心に構成。リクエストの改ざんテストもOK

無料診断ツール詳細

それでは、上記で整理した無料診断ツールの詳細を見ていきましょう。

それぞれ目的も活用方法も異なり、どのようなことが診断できるかも異なります。
あなたが必要としている診断を実施できるツールはありましたか？

上記無料ツールの使い方がよくわからない、無料ツールでは診断したいことが実現できないという方は、ここから整理する有料サービスをご確認ください。

[有料編]セキュリティ・脆弱性診断サービス

診断ツールの種類

厳密にシステムに対する脆弱性を確認したい時は「プラットフォーム診断」と「アプリケーション診断」の２つの手段があることを把握しておきましょう。

プラットフォーム診断

情報システムの土台に対する外部からの脅威を、未然に防ぐための診断です。

主な診断内容
情報システム全体を管理する為のOSやミドルウェアのプラットフォームを中心に、Webサーバやデータベースに至るまでの不正アクセスや情報漏洩等を未然に防ぐため、安全性を徹底的に診断・調査する事

アプリケーション診断

ユーザー側が使用するサービスに対する外部からの脅威を、未然に防ぐための診断です。

主な診断内容
WebサイトやWebサービス等のアプリケーションを中心に、会員サイトやスマートフォン・モバイル向けサイトに対する不正アクセスや情報漏洩等を未然に防ぐため、安全性を徹底的に診断・調査する事

診断方法の２つの違い

プラットフォーム診断やアプリケーション診断には、さらに２つの診断方法の違いがあり、それが「ツール診断」と「手動診断」です。

ツール診断

その名の通り「ツール」を用いて、対象となる情報システムに対する問題点を明確にし解決します。

手動診断

情報セキュリティに関する専門家が実際に対象となる情報システムの問題点を明確にします。

それぞれの「長所」と「短所」を下記の表に整理しました。

	ツール診断	手動診断
長所	誰にでも使えるツールのため比較的安価に使用でき、自動的にセキュリティに対する脆弱性を発見可能	専門家の手によって診断ツールでは見つけずらい脆弱性に対象可能
短所	WebサイトやWebサービスの内部構成が複雑だと誤検知率が高まる	専門的な知識が必要な業務となるため、価格が高くなる傾向がある

診断サービスの選び方 ５つのポイント

ポイント１：診断項目は？

脆弱性診断・セキュリティ診断ツールを選ぶ際のポイントとして認識しておくと良いのが、次の項目だ。
プラットフォーム診断やアプリケーション診断を通じてどんな問題を防ぎたいのかを考える上での参考にして欲しい。

機密情報の漏洩

企業存続を揺るがしてしまう情報の漏洩を防ぎたいか

個人情報の流出

外部に流出することで企業価値を下げる恐れのある個人情報の漏洩を防ぎたいか

ホームページの改ざん

企業の顔とも言えるホームページに対する情報の改ざんを防ぎたいか

基幹システムの停止」

自社基幹システムの停止に伴う業務の大幅な遅れや中断を防ぎたいか

ウィルスの感染

外部からのサイバー攻撃によるウィルスのよる二次、三次被害を防ぎたいか

ポイント２：「ツール診断」「手動診断」のどちらか？

情報システムに対する問題や課題を解決する時に簡単に済ませたいと感じる時もあると思います。
そのような場合は、自動で全体の問題を見つける事が可能なツール診断がお勧めです。

ツール診断では発見できないような小さな脆弱性に対して対処したい場合は、手動診断を行うと良いでしょう。

その時々によって、脆弱性診断・セキュリティ診断ツールの使用方法に多様性のあるセキュリティ企業を選ぶとセキュリティを防ぐ際の利便性が高まるはずです。

ポイント３：価格は？

脆弱性診断・セキュリティ診断ツールを通じた診断サービス費用は、数十万円から数百万円まで様々です。

セキュリティ診断ツールの種類と選びかたのポイントを通じて、可能な限り費用対効果の高い診断をしてくれるツールを選ぶ事が重要となります。

ポイント４：診断レポートの質は？

情報システムが実際に安全かどうか、もしくは問題を抱えているのかどうかは自社に提供される診断レポートによって判断する事が多い傾向にあります。
そのため、セキュリティに対する見識や知識が少なくても理解しやすいレポートなのかを事前に確認しておく必要があり、レポートに対する質問をしても良いセキュリティ企業を選ぶ方がより効果が高まるはずです。

ポイント５：コンサルティングしてくれるか？(相談)

脆弱性診断・セキュリティ診断ツールを通じて自社の情報システムの課題や改善点が分かったとしても、対処する事が出来なければ意味がありません。
セキュリティや脆弱性などの問題が本当に解決したのかを確認するための再診断を提供していたり、コンサルタントによる相談をしてくれるセキュリティ企業を選ぶとさらに安全性を高める事が可能となります。

人気診断サービス４つの比較

厳選した脆弱性診断・セキュリティ診断サービスを説明していきながら、どのような選び方のポイントがあるのかを言及していきます。

各企業のサービス比較 （サービス名）	費用	手動診断	ツール診断	専門家サポート
株式会社アルファネット （セキュリティ診断サービス）	220,000円〜	◎	◯	◎
三和コムテック株式会社 （SCT SECURE Appvigil）	298,000円(月間)	×	◯	◯
アララ株式会社 （P-Pointer File Security）	60万円	×	◯	△
株式会社ユービーセキュア （Webアプリケーション脆弱性検査ツール VEX）	見積もり次第	×	◯	◯

まとめ

脆弱性診断・セキュリティ診断ツールと言っても、何が気になっていて何をチェックしたいのかによって、診断すべき項目も様々でその方法も異なってきます。

無料のツールはもちろんのこと、最近では、脆弱性診断・セキュリティ診断サービスも多くの特徴を持つサービスがたくさん提供されているので、上記の５つのポイントをもとに、あなたの会社にあったサービスを選ぶことが重要です。