脆弱性診断の対象WebサイトやWebサービスに関連する脆弱性の中でも、その検査対象/レイヤーによって診断内容は大きく異なります。ここでは、最も一般的な3つの対象について説明します。対策実施と再診断、という流れを経て、サイバー攻撃に強いセキュアなWebサイト/Webサービス環境の確保を目指す点は共通です。Webアプリケーション診断サーバ上で稼働させるWebアプリケーション(Webサイト上で稼働するプログラム)を対象として行う脆弱性診断です。SQLインジェクション、クロスサイトスクリプティング、コマンドインジェクションをはじめとする脆弱性を見つけ、解析、報告します。後述の脆弱性診断ツール「VAddy(バディ)」もこのWebアプリケーション脆弱性診断の一種です。※Webアプリケーションの脆弱性に関しては、IPAをはじめ様々な専門機関から情報やガイドラインが公開されています。10プラットフォーム診断サーバ(Webサーバ/メールサーバ/DNSサーバ等)やネットワークを対象とするものです。OS/ミドルウェア等の既知の脆弱性への対応や、ネットワーク機器の状態、稼働している各サービス/ポート等の安全性について検査します。外部からインターネット越しに診断を行ってFW等を含めたシステム全体の状況を確認する場合(リモート診断)と、ネットワーク内から診断を行って個々のシステムの問題点をチェックする場合(オンサイト診断)、およびその両方を行う場合があります。※Webアプリケーションについても、CMSやOSSなど既知の脆弱性が管理されているものは、プラットフォーム診断でバージョン等の確認を行うことが一般的です。AndroidやiOS用のスマートフォン/タブレット専用「アプリ」の脆弱性について行う診断です。近年のネイティブアプリは、Webサービスの中でサーバ間と頻繁に通信を行うものが中心となっており、サーバとの通信に関する診断がより重要となっていますが、機器内に残るデータの管理や、逆コンパイルによる悪用の危険性など、モバイルアプリ特有の問題の検査も行われています。上記のうち、Webアプリケーションの脆弱性は次のような理由から注目されており、脆弱性診断などの対策を行う企業が急増しています。(セキュリティ診断)とはWebアプリケーションの脆弱性診断とは何か、なぜ必要なのか?主要な脆弱性や被害のパターンなどと合わせてご紹介します。