脆弱性診断とペネトレーションテストの違いとは　非破壊の点検と指摘の重大度の読み方

脆弱性診断は、サイトに弱点がないかを一通り調べることです。 ペネトレーションテストは、決めた目標まで実際に侵入できるかを試すことです。 このページでは、この2つの点検の違いと、点検の報告書を読むための2語を説明します。 攻撃の下調べに使われるOSINTも、ここで説明します。

どの点検も、サイトの持ち主の許可を書面でとってから行います。

脆弱性診断（Vulnerability Assessment）

• 何の略か 略語ではありません。
• 日本語では 「脆弱性診断」「セキュリティ診断」と書きます。
• 一言の定義 サイトやサーバーに、知られた弱点や設定の誤りがないかを、項目に沿って一通り調べることです。
• どんなリスクがあるか 診断の方法によっては、大量の通信を送ったり、試しの入力を送ったりします。本番のサイトで行うと、動きが遅くなったり、試しのデータが残ったりすることがあります。
• 影響を受ける運用 診断の範囲と方法を決めずに、本番のサイトで診断を頼む会社です。
• 実際の事例 用語の性質上、事例はありません。
• 分類番号 なし。

ペネトレーションテスト（Penetration Test）

• 何の略か 略語ではありません。「ペンテスト」と略します。
• 日本語では 「ペネトレーションテスト」「侵入テスト」と書きます。
• 一言の定義 攻撃者と同じ考え方で、決めた目標（顧客の情報を読むなど）まで実際にたどり着けるかを試す点検です。
• どんなリスクがあるか 実際に侵入を試すため、データの書き換えやサービスの停止が起きることがあります。そのため、試してよい範囲、時間、連絡の方法を、事前に細かく決めます。
• 影響を受ける運用 脆弱性診断とペネトレーションテストの違いを確かめずに、見積もりの金額だけで発注している会社です。
• 実際の事例 用語の性質上、事例はありません。
• 分類番号 なし。

非破壊の点検（Non-destructive Inspection）

• 何の略か 略語ではありません。
• 日本語では 「非破壊の点検」「外形の点検」と書きます。
• 一言の定義 侵入、改ざん、総当たりをせず、外から見える設定と応答だけを調べる点検です。
• どんなリスクがあるか 対象への影響はほとんどありません。その代わり、ログインした後の画面や、プログラムの中身は調べられません。調べられなかった項目は、安全という意味ではありません。
• 影響を受ける運用 「点検で指摘が0件だった」ことを、「安全が確認された」と受け取っている会社です。
• 実際の事例 用語の性質上、事例はありません。
• 分類番号 なし。

指摘の重大度（Severity）

• 何の略か 略語ではありません。
• 日本語では 「重大度」「深刻度」「危険度」と書きます。
• 一言の定義 点検で見つかった弱点を、悪用されたときの被害の大きさと悪用のしやすさで分けた段階です。
• どんなリスクがあるか 重大度は直す順番の目安です。「低」の指摘でも、ほかの弱点と組み合わさると大きな被害につながることがあります。公表された脆弱性では、CVSSという共通の基準の点数が使われます。
• 影響を受ける運用 「高」の指摘だけを直し、「中」と「低」を放置している会社です。
• 実際の事例 用語の性質上、事例はありません。
• 分類番号 なし。CVSSの説明は脆弱性の番号と評価のページにあります。

OSINT（Open Source Intelligence）

• 何の略か Open Source Intelligence の略です。
• 日本語では 「オシント」と読みます。「公開情報の調査」と訳されます。
• 一言の定義 OSINTとは、検索エンジン、公開されたWebページ、DNSの記録、SNSなど、誰でも見られる情報を集めて分析することです。
• どんなリスクがあるか 攻撃者は、攻撃の前にOSINTで下調べをします。社員の名前、メールアドレスの形、使っているサービス、古いサブドメインが、攻撃の足がかりになります。
• 影響を受ける運用 採用ページ、SNS、技術ブログ、公開した資料に、社内の仕組みや担当者の情報を載せている会社です。
• 実際の事例 用語の性質上、事例はありません。
• 分類番号 なし。MITRE ATT&CK では、攻撃の段階のうち「偵察（Reconnaissance、TA0043）」にあたります。

非破壊の点検でも、外から見える情報を調べる点では、OSINTと同じ考え方を使います。 自社について何が公開されているかを知ると、攻撃者に見えているものが分かります。

点検を頼む前に決めること

1. 点検するサイトとサーバーの範囲を、一覧で渡します。
2. 本番で行うか、検証用のサイトで行うかを決めます。
3. 侵入を試してよいか、外から見るだけにするかを決めます。
4. 調べられなかった項目を、報告書に書いてもらうよう頼みます。

プロンプト駅の「診断報告書の読み方」に、報告書の指摘を貼ると、直す順番と社内での説明の文をAIに作らせる文を作れます。

出典

• FIRST「Common Vulnerability Scoring System (CVSS)」 https://www.first.org/cvss/
• OWASP「Web Security Testing Guide」 https://owasp.org/www-project-web-security-testing-guide/
• MITRE ATT&CK「Reconnaissance (TA0043)」 https://attack.mitre.org/tactics/TA0043/

関連するページ

• Webセキュリティ用語辞典の索引
• OWASP Top 10
• Webサイトセキュリティ診断は、非破壊の点検です。調べられなかった項目も、報告書に書いてお渡しします。