2021.07.28日々、多くのアプリケーションやプラットフォームがセキュリティの危機にさらされています。万が一のことを考えて自社のネットワークのセキュリティが大丈夫なのか確認したいと考える担当者の方も多いでしょう。一口にセキュリティ診断ツール・サービスと言っても機能や特徴はさまざまです。この記事では、セキュリティ診断ツール・サービスを使うメリット、ツールやサービスを選ぶ際のポイント、おすすめのセキュリティ診断ツール・サービスを紹介します。無償の診断ツールを利用する場合の注意点まとめセキュリティ診断ツール・サービスとはセキュリティ診断ツール・サービスとは、Webアプリケーションやネットワークなどのインフラ、OSやミドルウェアなどのプラットフォームに対して、擬似的に攻撃を行い、セキュリティの脆弱性を発見するツール・サービスのことです。セキュリティ診断ツール・サービスのメリットセキュリティ診断ツール・サービスを活用することで次のようなメリットが得られます。セキュリティ対策が打てることです。セキュリティ診断ツール・サービスを用いることで、表面上は分からない脆弱性が発見できます。脆弱性の内容が分かれば対策を講じることが可能です。セキュリティ診断を行わなければ脆弱性が不明なままのため、アプリケーションやプラットフォームが危険にさらされたままになります。セキュリティ対策を施すには、システム改修に携わる人件費などのコストがかかります。セキュリティ診断を行わず、脆弱性がどこにあるのかを把握できていない状態で対策を行うと、無駄なコストがかかってしまうかもしれません。診断を行って優先順位をつけた上で対策に取り掛かることで必要最小限の対策だけを行うことができ、コスト削減に繋がります。セキュリティ診断は社会的信頼の向上にも寄与します。サイバー攻撃を受け顧客情報を流出させてしまった場合、社会的な信頼が低下します。消費者としても利用しているサービスのセキュリティは万全か気になるところでしょう。セキュリティ診断を行っている実績をアピールすることで顧客からの信頼を得ることができます。コンピュータウィルスや金銭を狙った犯罪など、サイバー攻撃の目的はさまざまです。日頃からセキュリティ診断ツール・サービスを用いて、セキュリティインシデントに備えておく必要があります。セキュリティ診断ツール・サービス選びのポイント3つセキュリティ診断ツール・サービスは何を基準にして選べば良いのでしょうか。ツール・サービス選びのポイントを解説します。1、手動診断可能かツールによる自動スキャンだけでなく、手動による細かい設定も可能かどうかは大きなポイントです。自動ツールと手動設定を組み合わせることで、より網羅的な診断が可能になるためです。自身で手動の診断が難しい場合は、セキュリティ診断サービスを利用すると良いでしょう。経験豊富なセキュリティ専門のエンジニアが手動によるチェックを行ってくれることもあります。診断対象もしっかりと確認しましょう。診断対象となりうるのはWebアプリケーション、ネットワークなどのインフラ、OSやミドルウェアなどのプラットフォームがあります。中には、スマートフォンやタブレットなどのモバイル端末の診断をしてくれるツールやサービスもあります。診断項目は、アプリケーションに対しては、ユーザ認証が不正に行われないか、サーバへのリクエストに含まれるパラメータに不正はないか、暗号化方式は適切かなど。ネットワークやプラットフォームに対しては、ポートスキャンやパケットフィルタリングのチェックなどがあります。3、サポートが充実しているかメールやチャット、電話による問い合わせができるか、FAQは充実しているかなどサポート体制が整っているかどうかも重要です。サポートがない場合、自身でインターネットなどを用いて使い方などを調べる必要があります。技術的に難しい場合もあるかもしれません。セキュリティ診断サービスを利用して診断を行った場合、診断結果をもって脆弱性の改善を行ったあと、再診断を行ってくれる場合があります。改修した内容が正しいかどうか再チェックを行えるので、積極的に利用しましょう。Japan株式会社が提供するサービスです。CREST認定企業としてCREST認定テスターによる診断サービスの提供も可能。提案するアセスメントサービスを実施してくれます。セキュリティに関与するチームのスキルレベルに合った教育メニューの提案・実施にも対応可能。PCIDSS準拠企業の診断運用業務に対する内製化支援を提案し、リテラシー向上とコスト削減に貢献します。【基本料金】Webアプリケーション診断:10HTTP(S)リクエストor6API/40万円〜、プラットフォーム診断:3IP/25万円〜、セットプラン:10HTTP(S)リクエストor6API+3IP/55万円〜「脆弱性診断サービス【Webアプリケーション診断】・【プラットフォーム診断】」は、WebアプリケーションやOS/ミドルウェアに潜むセキュリティ上の問題点を攻撃者の視点で診断するサービスです。年間500件以上の診断サービスを提供するWebセキュリティのプロフェッショナルの豊富な経験・ノウハウと、ユーザーに寄り添ったスタッフ対応により、最新かつ信頼度の高いセキュリティ対策を提供します。*・自社開発の診断ツール・ツール診断と手動診断の組み合わせによる高い脆弱性検出率・セット割引(Webアプリケーション診断+プラットフォーム診断)が特徴のサービスです。(*再診断は、危険度Medium以上の脆弱性が対象で、1案件につき1回を無償で提供。02「脆弱性診断サービス」は、セキュリティ上の問題点を診断レポートにし、安全性を徹底的に調査するサービスです。セキュリティ環境を見える化することで、対策を促し、セキュリティリスクの低減を図ることができます。診断手法として「自動診断型」と「手動診断型」の2タイプを用意。診断対象は「Webアプリケーション」と「ネットワーク(OS・ミドルウェア)」の2タイプ、上記の組み合わせと契約形態により、用途・目的に合わせて選ぶことが可能です。参考価格:【初期費用】450,000円~【月額料金】-「RayAegis」は、高度なAIセキュリティ診断をサブドメイン・FQDN単位によるシンプルな価格体系で提供するサービスです。Webビジネスを展開し、進化するサイバー攻撃に対し継続的に備えたい企業におすすめです。本サービスは、さまざまなセキュリティの課題に対し、深いセキュリティの知見と独自開発したAI技術を用いてセキュリティ診断を実施できる点が特徴。各企業の要望に応える様々なメニューを用意しています。AIクイックツール診断をはじめとした各種メニューは国際規格に準拠。WAFやIPSを迂回する攻撃、全世界で収集したゼロデイ攻撃までを短期間で診断することが可能です。FQDN数による価格体系のため、広範囲な診断を低コストで実現可能。ページ数やリクエスト数による価格体系よりも費用対効果が高いのが強みです。そのほかTLPTやIoTセキュリティなどの特殊なケースにも個別で対応可能です。プラットフォーム診断サービス」は、サーバ/ネットワーク機器/OS/ミドルウェアに対し、信頼性の高い複数の診断ツールによる検査を行った上、脆弱性診断に数多くの経験を有するセキュリティエンジニアが、手動で検査を行なうため、誤検出などを含まない高い診断精度を実現します。検査後は、具体的な対策についてアドバイスの提供を含む分かりやすい詳細なレポートを提示しています。サービス内容は、事前調査・ツールおよびエンジニアによる手動での診断作業・報告書の提出・報告会(オプション)・報告後1か月間のQ&A対応・修正後の再診断(オプション)など幅広く用意しています。診断の結果として作成する報告書は、発見された指摘事項を確認する上でとても重要な要素です。本サービスの報告書は、管理者向けの「サマリー」、修正を担当するエンジニア向けの「脆弱性詳細」の2部構成。担当ごとに使い分けができ、分かりやすいと好評です。Webアプリケーション診断サービス」は、経験豊富な同社のセキュリティエンジニアが、Webアプリケーションに潜む脆弱性を検査し検出します。検査後、詳細で分かりやすいレポートを基に、同社のアナリストによる報告会を実施。検査結果と今後の対応策を提案してくれるサービスです。サービスは、事前調査・ツールおよびエンジニアによる手動での診断作業・報告書の提出・報告会(オプション)・報告後1か月間のQ&A対応・修正後の再診断(オプション)の流れで行われます。本サービスの報告書は、管理者向けの「サマリー」と修正担当エンジニア向けの「脆弱性詳細」の2部構成となっています。確認者に応じて使い分けることが可能なので分かりやすいと、実施した各企業からも好評です。Blanket」は、診断事業者として10年超の実績をもつ株式会社M&Kが提供するサービスです。脆弱性診断に関する技術力とノウハウを保有、大手セキュリテイ事業者とも技術協業しています。本サービスの特徴は、自社開発(純国産製品)の自動診断ツールで、即時性の高いカスタマイズ・アップデートが可能な点。SaaS型提供のため、低価格で利便性・継続性の高いサービスを実現しています。Standard/365」を用意。Standard」を用意しています。株式会社ユービーセキュアPOINT提供形態:サービス参考価格:別途お問い合わせWebアプリケーション向けの脆弱性検査ツールです。Webアプリケーション内を巡回し自動的にテストシナリオを作成したり、画面に表示されたシナリオを自由にマッピングすることでシナリオを作成できます。アプリケーションの特性に応じた診断項目を網羅しています。レポート出力形式も豊富で、開発者向けやサイトオーナー向けなどさまざまなフォーマットで出力することが可能です。日本語だけでなく英語でのレポート出力にも対応しています。(NTT東日本)POINT提供形態:サービス参考価格:5,500円〜脆弱性やWebサイト改ざんの有無をシステムが定期的に診断します。脆弱性診断ではSQLインジェクションやクロスサイトスクリプティング、ディレクトリインデックス、OSコマンドインジェクション、ディレクトリトラバーサル、クロスサイトリクエストフォージェリを診断。ほかにWebサイトが改ざんされていないかの検出も行います。診断結果はメールで通知されるほか、いつでも好きなタイミングでPDF閲覧することが可能です。「SiteLock」GMOグローバルサイン・ホールディングス株式会社POINT提供形態:サービス、クラウド、SaaS参考価格:4,620円〜10万9,560円(年間費用)簡単で手軽に始められるのが特徴のWebサイト監視サービスです。ごとの中から選ぶことも可能です。マルウェア診断は毎日実行。マルウェアに感染していた場合は自動で駆除する機能もあります。悪意のある第三者によって、スパムメールの踏み台やWebサイトに不正なリンクを埋め込まれてしまうと各機関のブラックリストに登録されることも。ブラックリストに登録されていないかの監視も用意しています。三和コムテック株式会社POINT提供形態:クラウド、SaaS、ASP参考価格:別途お問い合わせ定期的な診断を行うクラウド型のセキュリティ診断サービスです。ネットワークとWebアプリケーションの脆弱性を同一のサービスで診断可能。ハッキングなどの攻撃を受ける前にアプリケーション改善に必要な情報を提供します。診断は最新の脆弱性情報をもとに毎日実行。クラウド型のためメンテナンスは不要です。した安全性の高い診断を提供。診断中に危険度の高い脆弱性を検知した際は、メールによる通知を送ります。株式会社セキュアブレインPOINT提供形態:クラウド参考価格:別途お問い合わせ診断対象のページのURLを登録すれば、独自開発したツールが自動的に情報を収集し診断。脆弱性の情報は日々更新されるため、ツールは最新の情報にもとづいて診断を行います。診断結果は視覚的にわかりやすいダッシュボードで提供。危険度に応じ「レッド」「オレンジ」「イエロー」「グリーン」に色分けされるため、簡単に状況の把握ができます。診断結果はPDFレポートとして出力することも可能です。オプションとして、診断結果に対する問い合わせやアドバイスを提供するサービスも行っています。株式会社レイ・イージス・ジャパンPOINT提供形態:サービス参考価格:別途お問い合わせ「AIクイック・ツール診断」では、独自の自動化ツールを用いて高速な脆弱性スキャンを行います。クロスサイトスクリプティングやSQLインジェクションなど45もの項目を網羅的にスキャン。AIを活用した独自ツールと手動での診断を組み合わせ、網羅的な診断を可能とします。診断項目は68項目です。実際のハッカーが用いる手法をもってユーザのシステムへの侵入を試みます。ピーエスシーPOINT提供形態:クラウド、サービス参考価格:18万円〜68万円(基本価格)「クイックプラン」はスピード重視で最短3日間での診断が可能です。重要事項に絞った診断を行い報告書も提示されます。「スタンダードプラン」はバランスよく診断が行えます。診断後のシステム改修におけるサポートや再診断もプラン内で対応。外国語のレポートにも対応しているところも特徴の一つです。「プロフェッショナルプラン」では、自動ツールに加えて手動での診断も行います。複数の攻撃シナリオが用意されており、網羅的に診断可能です。診断サイトの特性に合わせた個別診断もできます。使用するツールも高品質で、最新の技術動向や攻撃手法を押さえた脆弱性項目をカバーしています。され、システム改修時に役立ちます。セキュリティエンジニアが診断レポートに対して、検知漏れや誤検知が発生していないかのチェックも実施。信頼性の高いレポートが期待できます。診断後にはQAサポートも実施。システム改修のコンサルティングやセキュリティ製品の導入支援などまで対応します。ツールでは検知できないアプリケーションの仕様による脆弱性も検知可能です。「ベーシック診断」ではWebアプリケーションやスマホアプリに対して、所定の項目をスピーディに診断します。セキュリティエンジニアによる報告会にも対応。「プラットフォーム診断」では、アプリケーション以外のミドルウェアやネットワーク、クラウドのセキュリティ診断などが行われます。Survey」テクバン株式会社POINT提供形態:SaaS、サービス参考価格:別途お問い合わせWebアプリケーションやプラットフォーム、ネットワーク通信上の脆弱性を診断します。よるサイト全体の診断。これら4種類のサービスを組み合わせることでより質の高い診断を実現します。脆弱性診断の結果にもとづいて脆弱性対策を行ったあとは、再診断オプションにて正しく脆弱性に対応できているか確認。整っており、万が一セキュリティインシデントが発生した場合には手厚いサポートを受けることができます。簡単に基本的なセキュリティリスキャンを実行可能です。セキュリティの運用を外部に委託するコストがかかりません。