社内システムや業務アプリにWebアプリを使うことが増え、その分セキュリティリスクが高まっています。サイバー攻撃を受けて社内の機密情報が漏えいすれば大きな損害につながることも。自社のシステムに脆弱性がないかを調べることでリスクを低減することが可能です。脆弱性診断はどのような方法で実施できるのかを見ていきましょう。

Webアプリケーションの脆弱性

IPAの「安全なウェブサイトの作り方　改訂第７版」では、Webアプリケーションの脆弱性として以下の11点を挙げ、Webアプリのセキュリティ実装を求めています。ユーザー側で対策するものではないのですが、このような脆弱性が起こりうるということです。

1. SQL インジェクション

ユーザーの入力情報をデータベースへの命令文（SQL）に組み立てるのですが、このSQL文に問題があるとサイバー攻撃による不正利用が行われる可能性があります。

2. OS コマンド・インジェクション

Webサイトに不正な入力を行い、Webサーバ側で想定していない動作をさせる攻撃です。

3. パス名パラメータの未チェック／ディレクトリ・トラバーサル

ファイル名指定に問題があると、外部から公開を想定していないファイルにアクセスされる可能性があります。

4. セッション管理の不備

ID、パスワードの管理の不備をついてログインされてしまうことがあります。

5. クロスサイト・スクリプティング

個人情報時の確認画面など、ユーザーの入力内容などをWebページとして出力するサービスもありますが、この出力処理に問題があると、スクリプトなどを埋め込む攻撃を受ける場合があります。

6. CSRF（クロスサイト・リクエスト・フォージェリ）

外部サイトを経由した悪意のあるログインリクエストを受け入れてしまう脆弱性が生じることがあります。

7. HTTP ヘッダ・インジェクション

HTTPヘッダのレスポンス内容に任意のヘッダフィールドやボディを追加・作成するという攻撃をしかけるケースがあります。

8. メールヘッダ・インジェクション

メールアドレスを外部から自由に指定できてしまう脆弱性が生じ得ます。

9. クリックジャッキング

細工された外部サイトを閲覧し、マウス操作を行うことで意図しない機能を実行させられる可能性があり、その問題を悪用した攻撃です。

10. バッファオーバーフロー

プログラムが確保したメモリの領域を超えると領域外のメモリを上書きされ、意図しないコードを実行してしまう可能性があり、その問題を悪用した攻撃です。

11. アクセス制御や認可制御の欠落

運用者のセキュリティへの認識が欠けていると、不適切な設計で作成されたWebサイトになっている可能性があります。

専門家に相談ではなく「脆弱性診断ツール」を使う手も

脆弱性を放置すると、そこを利用したサイバー攻撃を受ける可能性が高くなるため、システム全体に脆弱性がないかを診断します。脆弱性診断ツールなどを用いて、既知の脆弱性がないか特定し、ランク付けと報告を行います。

脆弱性を調べるものにペネトレーションテストというものもありますが、こちらは、検証対象のシステムに応じた攻撃のシナリオに沿って実施するもので、特定の脆弱性・問題性がないかを調べるもので、システム全体を検査する脆弱性診断とは異なります。

もちろん、Webアプリの開発会社でも常時脆弱性への対策は行っており、見つかった場合は即時セキュリティパッチが提供されます。ユーザーとしてまず行うべきことは、アプリケーションのソフトウェアを常に最新に保ち、IDやパスワードを適切に管理することです。

脆弱性診断は、①セキュリティの専門業者や社内のセキュリティ専任者などが手動で検査する方法と、②ツールを使って自動で行う方法があります。特に重要な機密情報を扱う業種などでは専門家の手による検査を行うほうが好ましいのですが、通常の業務であればツールでの検査でも問題ないでしょう。

【ImmuniWeb】

イスラエル式の高度トレーニングを修了したセキュリティスペシャリストが診断を行います。セキュリティの専門家がツールを用いて自動で行う方法となります。ImmuniWebは、機械学習・RPAの技術を応用し、AIで脆弱性診断を行うプラットフォーム。世界での導入数は約４,000万以上という実績をもちます。

国内外のあらゆるガイドラインに準拠した検査を行っています。日本国内でのガイドラインは内閣サイバーセキュリティセンター（NISC）、経済産業省（METI）、情報処理通信機構（IPA）、金融情報システムセンター（FISC）、日本コンピューターセキュリティインシデント対応チーム協議会（JP-CSIRT）、日本ネットワークセキュリティ協会（JNSA）です。

問い合わせてから打合せ、見積もりを経ての発注となります。診断開始から最短２週間で報告書納品というスケジュールです。

ImmuniWeb詳細はこちら
https://cybergymjapan.com/services/security/immuniweb/

【VAddy】

セキュリティ専門家以外でも行えるクラウド型の脆弱性診断ツール。ツールのインストールは不要で、サインアップし、スキャンボタンをクリックするだけで脆弱性の有無が判別されます。脆弱性が発見された場合は、修正して再スキャンされます。結果はチャットツールに通知することも可能です。

月額19,800円のProfessionalプランではSQLインジェクションをはじめとする５項目、59,800円のEnterpriseプランでは11項目、月額99,800円のAdvancedプランではIPAが提唱する「安全なウェブサイトの作り方」（チェックリスト）に準拠した17項目の検査を行います。１週間の無料トライアルも可能です。

VAddy詳細はこちら
https://vaddy.net/ja/

企業の情報セキュリティ対策はハイパーの「セキュリティア」へ

診断から対策まで丸っとサポートいたします。

https://www.securitier.jp/

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3D8m9tU06CsD1PPXEc%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

まとめ

Webアプリにはさまざまな脆弱性が生じるリスクがある
重要な機密情報を保持している場合はセキュリティ専門家による診断がベター
専門知識がない場合でも扱えるクラウド版診断もある