Webサイトのセキュリティ対策として「脆弱性診断」は欠かせません。
最近では安価な自動診断ツールも増えていますが、「ツール診断だけで十分」と考えてはいませんか？ セキュリティエンジニアが手作業で行う診断に比べて、ツールによる診断は安価で診断期間が短いといった面で効果があると考えられますが、万能ではありません。
実は、ツールによる診断だけでは、重大な欠陥を見逃してしまうリスクが潜んでいます。今回は、なぜツールと「セキュリティエンジニアの手作業」を組み合わせたハイブリッドな診断が必要なのか、その理由を解説します。
1．ツールの結果は、診断結果の「下書き」と理解すべし
診断ツールの主な役割は、膨大なページから脆弱性の「可能性」を漏れなく洗い出すことです。そのため、ツール診断では過検知（False Positive）※が多く発生します。
なぜ過検知が起きるのかというと、ツールでは、サイトの仕様などを加味した最終的な安全性を判断することが困難なためです。怪しい挙動はすべて脆弱性候補として検出します。
だからこそ、検出された項目に対して実際に「攻撃できるのか」「悪用可能なのか」を、専門家が攻撃者の視点で検証する必要があります。この「真偽の見極め」があって初めて、対応可否が分かる診断結果となります。
※過検知（False Positive）とは
実際には問題がないのに、ツールが「脆弱性あり」と誤って判定してしまうことを過検知（False Positive）と呼びます。
2．ツール診断の肝は設定にあり。ただし設定の難易度は高い
ツールは自動的に診断してくれるといっても、実は「どこをどう検査するか」の設定（クロール設定）の難易度が非常に高いのです。
- 初期設定では不十分
複雑なログイン処理、多段階のフォーム、JavaScriptを多用した動的コンテンツなどは、ツールの初期設定では正しく巡回（クロール）できないことが多々あります。 - 多くの経験に基づく仕組みの理解が必要
「このサイトの構造なら、ここを重点的に見るべき」「このボタンはツールでは押せないから手動で設定しよう」といった判断には、数多くのサイトを見てきたプロの経験が不可欠です。
簡単にクロールを設定したり、初期設定などの自動設定を利用したりするだけでは、なかなか使いこなすところまでいかないというのが現実です。
また、ツールによっては、
という場合もあり、期待する検査ができないこともあります。検査項目や検査対象URLの一覧などで、期待する検査が実施されるのかを確認することも必要です。
3．【超重要】ツールによる診断では検出できない脆弱性もある
あまり知られていないことかもしれませんが、ツールによる診断ではそもそも検出できない脆弱性もあります。ツールでは「ビジネスロジック」の穴は見えないことと、そもそも検出が難しい項目が存在することを知っておく必要があります。
実際に検出が難しい項目の例をご紹介しておきたいと思います。
診断が難しい項目の一例（ツールによって異なる可能性あり）
- セッション管理の不備
- CSRF（クロスサイトリクエストフォージェリ）
- メールヘッダ・インジェクション
- アクセス制御や認可制御の欠落
※ これらは、IPAでは診断が推奨されています
発生の仕方によってツールでは検出が難しいケース
- 攻撃箇所と、発生箇所が異なるケースの脆弱性
（例）サイト内のページAで入力した攻撃が、別ページBで発生するケースなど
ビジネスロジックを狙った攻撃では、任意のファイルダウンロードや登録済みのIDが判明するなどの脆弱性が見つかることもあります。
まとめ：重要な局面では「ハイブリッド診断」を！
ツールは「広範囲を素早く」調べるのに適しています。一方で、エンジニアによる手作業は「深く、正確に」調べるのに適しています。
それぞれの特性をしっかりと理解して有効に活用することがとても大切です。御社のためにも、御社のお客さまのためにも「ツールをかけたから大丈夫！」はもう卒業です！
常にハイブリッド診断（ツール＋手作業での診断）ばかりは受けられない、リリーススピードが追いつかないなどの場合には、以下のようにご検討いただくのも良いかもしれません。
- 定期的な簡易チェックには「ツールによる診断」
- 新規リリース前・年次の定期診断など重要なタイミングには「ハイブリッド診断」
このように診断の目的やタイミングに合わせて使い分けるのがベストな戦略といえます。特に、顧客の個人情報や決済情報を扱うサイトでは、重要なタイミングで網羅的な深い診断を受けることを強くおすすめしています（2025年に改訂された『クレジットカード・セキュリティガイドライン 6.0版』では、ECサイトの脆弱性対策が必須とされています）。
セキュリティ対策は「一度やれば終わり」「ツールかけたらやったってことでOKでしょ？」ではありません。サイバー攻撃によって、多大な損害を被る前に、最新の攻撃手法を熟知したプロの目を取り入れながら、安心・安全なサイト運営を継続的に行っていくことを、ぜひご検討いただけたらと思います！
ライター／ふぁんふぁん
愛犬をめで、楽器と戯れ、おいしいものにかぶりつく日常を送りつつ、信興テクノミストのハイブリッドWebセキュリティ診断「ABURIDA®️」のカスタマーサポートとして縁の下の力持ちになるべく修行中。
