脆弱性診断の方法Webアプリケーションの脆弱性診断には、大きく分けて「手動診断」と「ツール診断(自動診断)」の2種類の方法があります。「手動診断」は文字通り人の手を使って行うもので、セキュリティ事業者や社内のセキュリティ部門に属する専門知識を持つ診断員が直接検査を行い、結果を報告します。これに対して「自動診断(ツール診断)」は、商用/OSSを問わず何らかの自動検査ツールを利用して検査するものを指します。手動診断と違って、診断のプロ以外の方が自ら実施することが可能ですが、診断ツールによってその難易度は大きく変わります。※実際には、「手動診断」の中でツールを利用することもあります。「自動診断」でも人間による操作や判断を組み合わせることがあります。一般的に、次のような手順で行われます。社内で行う場合、診断員の確保育成コストが大きい自動脆弱性診断(ツール診断)ツールを利用したWebアプリケーション脆弱性診断です。ここでは、プログラマーをはじめ専門的なセキュリティ診断の知識を持たない方による実施を前提としています。ツールによる自動脆弱性診断は、実施段階によってさらに2種類に分けられます。リリース前診断用ツール自社内の開発部門等において、Webアプリケーションのリリース前に脆弱性診断を行うための自動検査ツールです。後述のクラウド型Web脆弱性診断ツール「VAddy(バディ)」も、このリリース前診断用ツールのカテゴリに属します。※自社内で行う場合でも、セキュリティ部門のエンジニアなどが手動で行う診断は「手動診断」に分類されます。セキュリティ診断事業者が、診断サービスの中でリリース前診断用ツールを専門知識を活かしながら使用することもあります。~選ばれる理由~VAddyは、上記メリットを最大限に活かしつつ、デメリットを根本的に解決するために生まれたツールです。クラウド型サービスのため、ご利用にあたってインストールは不要。ブラウザだけでご利用いただけます。リリース後診断用ツール本番環境で運営されているアプリケーションに対して、日次、週次など定期的に検査リクエストを送信して脆弱性の有無を判断するタイプのツールです。SaaS型で、安価なものでは月額数千円から提供され、ここで紹介する診断のカテゴリの中では、最も安価で手軽なものです。他のサービスの付加機能として提供される場合もあります。本番環境に大きな悪影響を与えず検査を行わなければならないこともあり、一般的に、高機能なリリース前診断用ツールと比較すると検査できることが限られます。公開済みで開発も落ち着いているWebサイトのアプリケーションについて、主要な「脆弱性が無い」ことを簡易的に確認するために用いるツールといえます。(セキュリティ診断)とはWebアプリケーションの脆弱性診断とは何か、なぜ必要なのか?主要な脆弱性や被害のパターンなどと合わせてご紹介します。