脆弱性診断とは？種類・選び方・頻度を「攻撃者の時間軸」で考える実務ガイド

脆弱性診断とは、Webサイトやサーバー、ネットワーク機器などに、攻撃者に悪用されうる弱点（脆弱性）がないかを専門的な手法で調べることです。ただし、本当に考えるべきなのは「診断を受けるかどうか」ではなく、「脆弱性が悪用されるまでの時間」に対して、自社の確認の頻度が追いついているかという点です。

Google Cloud（Mandiant）の分析によると、脆弱性が公開されてから悪用されるまでの平均日数（Time-to-Exploit）は、2018〜2019年の63日から、2023年には5日まで短くなりました（外れ値を除いた平均。除かない場合は47日）。年に1回の診断だけでは、その間に公開された脆弱性への備えに大きな「空白」が残ります。本記事では、この攻撃者の時間軸という視点から、脆弱性診断の種類、選び方、頻度の組み立て方を解説します。

脆弱性が悪用されるまでの時間は短くなっている

Mandiantは、2023年に公開され、実際に悪用が確認された138件の脆弱性を分析しています。

この数字が示すのは、「脆弱性が公開されたら、数日から数週間のうちに悪用される可能性がある」という現実です。年に1回の診断で問題がなかったとしても、その翌週に利用しているソフトウェアの脆弱性が公開されれば、次の診断までの約1年間、その脆弱性は残り続けるかもしれません。

脆弱性診断の種類

脆弱性診断にはいくつかの種類があり、調べる対象と方法が異なります。

脆弱性診断とペネトレーションテストの違い

脆弱性診断は、決められた範囲を網羅的に調べ、脆弱性の一覧を作ることが目的です。ペネトレーションテストは、「顧客情報にたどり着けるか」といった目的を設定し、攻撃者の視点で実際に侵入を試みるものです。網羅性の脆弱性診断、実際の被害の可能性を確かめるペネトレーションテスト、という役割の違いがあります。中小企業の場合、まずは公開しているWebサイトやシステムの脆弱性診断から始めるのが現実的です。

ツール診断と手動診断

ツールが見つけにくいのは、「他人の注文情報が見えてしまう」「一般ユーザーが管理者の機能を使える」といった、業務のロジックや権限に関わる脆弱性です。こうした脆弱性は被害が大きくなりやすいため、重要なシステムでは手動診断を組み合わせることが重要です。

あわせて読みたいCVEとは？脆弱性が年間約4.8万件に急増する時代の、中小企業のための脆弱性管理入門

診断を「常時・変更時・定期」の3層で組み立てる

攻撃者の時間軸に対応するには、年に1回の診断だけに頼るのではなく、頻度の異なる確認を組み合わせることが有効です。

最初の一歩は「公開資産の棚卸し」

診断の前にやるべきことは、インターネットに公開しているものを把握することです。担当者が把握していない古いキャンペーンサイト、検証用のサーバー、退職者が作った管理画面などは、診断の対象から漏れやすく、攻撃の入口になりがちです。

• 自社のドメインとサブドメインの一覧がある
• 公開しているWebサイト・システム・管理画面の一覧と担当者が決まっている
• 利用しているCMS・ミドルウェア・プラグインとバージョンを把握している
• 使っていないサイトやサーバーを停止する手順がある
• クラウドサービスの公開設定を確認する担当者がいる

委託先の選び方

診断を外部に委託する場合、品質の目安になるのが、経済産業省の「情報セキュリティサービス基準」です。IPAは、この基準に適合すると審査登録機関が認めたサービスを「情報セキュリティサービス基準適合サービスリスト」として公開しています。リストは、情報セキュリティ監査、脆弱性診断、デジタルフォレンジック、セキュリティ監視・運用のカテゴリに分かれています。掲載期間には期限があるため、最新の掲載状況を確認しましょう。

費用は、対象の規模（画面数やリクエスト数、サーバーの台数）や手動診断の有無で大きく変わります。複数の事業者から、同じ範囲で見積もりを取って比較することをおすすめします。

報告書の読み方：「深刻度」と「悪用の可能性」を分けて考える

診断の報告書には、多くの場合、脆弱性ごとに深刻度（高・中・低など）が記載されています。ただし、深刻度が高いものから機械的に対応すると、本当に危ないものの対応が遅れることがあります。

深刻度と悪用状況を組み合わせた優先順位のつけ方は、CVEとは？脆弱性への対応と優先順位のつけ方で詳しく解説しています。修正が終わったら、必ず再診断で修正が有効かを確認しましょう。

中小企業が最初に取り組む順番

セキュリティ対策の全体像は中小企業のセキュリティ対策の基本、生成AIに関わるリスクは生成AIの情報漏えいリスクと対策もご覧ください。

FlowStack Labsの見解：脆弱性診断は「イベント」ではなく「仕組み」にする

多くの企業では、脆弱性診断が「年に1回のイベント」になっています。報告書を受け取り、修正して、また1年後に診断する。しかし、脆弱性が数日で悪用されうる時代には、このリズムでは追いつけません。

私たちがおすすめしているのは、診断を開発と運用の流れの中に組み込むことです。公開資産の一覧を常に最新に保ち、既知の脆弱性は自動で検知し、リリースのたびに変更範囲を確認する。そのうえで、年に1回の専門家による手動診断で、ツールでは見つからない設計上の弱点を洗い出す。この組み合わせによって、診断は「点」から「線」になります。

また、AIを使った開発が広がるほど、短期間で多くのコードが書かれるようになります。生成AIが書いたコードの脆弱性についてはAIが書いたコードの脆弱性で解説しています。開発のスピードが上がった分、確認の仕組みも同じスピードで回すことが、これからの脆弱性対策の前提だと考えています。

よくある質問

まとめ

• 脆弱性診断は、攻撃者に悪用されうる弱点を専門的な手法で調べることです。
• Mandiantの分析では、脆弱性が悪用されるまでの平均日数は2023年に5日（外れ値を除いた平均）まで短くなっています。
• 年に1回の診断だけでなく、常時・変更時・定期・必要時の4つの頻度で組み立てることが有効です。
• 委託先は、IPAの基準適合サービスリストを目安に、範囲、方法、報告書、再診断で比較しましょう。
• 報告書は、深刻度と悪用の状況を分けて読み、修正後は再診断で確認します。

公開資産の棚卸し、脆弱性への対応を開発・運用の流れに組み込む仕組みづくりは、FlowStack Labsの無料相談でご相談いただけます。

参考資料

• Google Cloud（Mandiant）「How Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends」
• IPA「情報セキュリティサービス基準適合サービスリスト」
• IPA「安全なウェブサイトの作り方」
• JVN（Japan Vulnerability Notes）