脆弱性評価と侵入テストの違い
Cyberlord Secure Services 著者プロフィール
脆弱性評価と侵入テストの違いと使い分け
脆弱性評価(VA)は既知の脆弱性を網羅的にスキャンして一覧化する作業で、自動スキャナが中心です。CVSS スコアで優先度を付け、四半期に一度実施するのが標準です。侵入テスト(PT)は熟練テスターが手動で未知の脆弱性や連鎖攻撃を発見する作業で、年一回または重大な変更後に実施します。
両者のレポートは形式が異なり、VA は修正の優先度リスト、PT は攻撃シナリオと影響の物語として経営層に渡すと理解が進みやすくなります。両方を別々に取得するとコストが倍になるため、四半期 VA と年一 PT の組み合わせが費用対効果に優れます。
費用と効果の現実的なバランス
脆弱性評価の費用は対象システム数により大きく変わりますが、小規模な Web サイトで 30-80 万円、中規模の本番環境で 100-200 万円が目安です。侵入テストの費用は 150-500 万円が標準的で、モバイル、Web、ネットワーク、クラウドの組み合わせで 500-1500 万円まで上昇します。
投資対効果の観点では、まず VA を月次で運用し、四半期に一度レッドチームの PT を組み合わせるパターンが標準的です。両者のレポートは統合して経営層に提示し、修正の優先度を単一のサマリーにまとめることが重要です。
この記事は防御、復旧、調査計画のための一般情報です。第三者の端末、アカウント、ネットワークへ無断でアクセスする行為を助長するものではありません。実務では必ず所有者の同意、書面による承認、法令遵守、証拠保全の手順を確認してください。
脆弱性評価と侵入テストの違いは、単にツールを使えば解決する問題ではありません。対象範囲、許可、証拠の扱い、関係者への説明、復旧後の再発防止までを一つの流れとして設計する必要があります。特にどちらを依頼すべきか迷う企業にとって重要なのは、早く動くことと、違法または危険な近道を避けることです。
まず確認すべきこと
最初に、誰が対象システムや端末を所有しているのか、どこまで調査してよいのか、どの証拠を残す必要があるのかを整理します。口頭の依頼だけで進めると、後で説明責任を果たせない場合があります。Cyberlordでは、目的、対象、期限、連絡窓口、保存すべきログを確認してから作業に入ります。
よくあるリスク
このテーマで失敗しやすいのは、焦って匿名の業者、ダークウェブ、無許可ツールに頼ることです。そうした方法は詐欺、情報漏えい、二次被害、証拠汚染につながります。検出範囲、実証、コスト、頻度、成果物を順番に進めることで、検索意図に合った答えを得ながら、法的リスクと技術的リスクを下げられます。
実務で使う安全な進め方
- 現在分かっている事実、時刻、関係者、画面の状態を記録します。
- アカウント、端末、クラウド、ネットワークのどこに問題があるかを切り分けます。
- パスワード変更や多要素認証の再設定など、被害拡大を止める作業を優先します。
- 証拠を消さない形でログ、通知、メール、取引履歴、スクリーンショットを保存します。
- 必要に応じて、公式サポート、法務、警察、保険会社、セキュリティ専門家へ連携します。
Cyberlordが確認するポイント
Cyberlordは、依頼内容が許可された範囲に収まっているかを最初に確認します。そのうえで、公開情報、ログ、端末状態、アカウント設定、既知の侵害指標を調べ、再現できる事実と推測を分けて報告します。報告書には、影響範囲、優先度、修正手順、再テスト方法を含めます。
依頼前のチェックリスト
- 調査対象の所有者または管理者から明確な承認を得ている
- 調査したい目的と期限を説明できる
- 重要な証拠を削除せずに保存している
- 成果物として何が必要かを決めている
- 違法なアクセスや秘密の監視を依頼しない
実施頻度と組み合わせ
自動スキャンは月次または四半期、侵入テストは年一または重大な変更後が標準です。両方を組み合わせると、網羅性と深さを両立できます。
報告と修正サイクル
CVSS スコア、ビジネス影響、攻撃の容易さの三軸で評価し、修正の優先度を決めます。再テストで修正確認することが重要です。
クラウド環境特有の考慮
クラウド設定ミス、IAM 権限、API セキュリティに焦点を当てた追加評価が必要です。
テスト後のアクション
テスト結果は経営層と現場の両方に共有し、修正の優先度を統合した単一サマリーにまとめます。
黒箱と白箱
黒箱は外部からのみ攻撃、白箱は全情報ありでより深い検証が可能です。
侵入テストの5つのタイプ
侵入テストは、テスト範囲と事前情報のレベルに応じて5つのタイプに分類されます。(1) オープン(ホワイト)ボックステストは事前にターゲット情報が多い。(2) クローズド(シングルブラインド)ボックステストは会社名のみ。(3) コバート(ダブルブラインド)テストはIT部門にも知らされず実施される。(4) エクスターナルテストは外部公開システムが対象。(5) インターナルテストは内部ネットワークから実施。
侵入テストの4つのフェーズ
侵入テストは偵察→侵入と権限維持→目標達成→痕跡消去の4フェーズで進行します。偵察ではターゲットのシステム構成、公開情報、従業員プロファイルを調査。侵入と権限維持ではフィッシング、ブルートフォース、SQLインジェクション、専用ハードウェアデバイスを駆使。痕跡消去は埋め込んだハードウェア撤去、システム状態復元を実施します。
コンプライアンス要件
PCI DSS v4.0 セクション 11.4 では侵入テストが要求されています。HIPAA、GDPR、SOC 2、ISO 27001 の各フレームワークでも、定期的な侵入テストまたは脆弱性評価を義務付けています。日本では金融庁の監督指針でシステムリスク管理の一環として位置付けられ、改正個人情報保護法では安全管理措置の参考事項です。
テスト後の改善アクション
テスト結果を受けた改善アクションには、WAF ルール追加、レート制限設定、DDoS 緩和策実装、入力検証強化、ゼロトラスト移行などがあります。ソーシャルエンジニアリングで侵入された場合は従業員教育とアクセス制御見直し、横移動を防ぐためマイクロセグメンテーション実装も検討します。
費用と ROI
費用はテストの種類と規模により大きく変わり、自動スキャンは月額数万円、倫理ハッカーによる侵入テストは年100-500万円が目安です。ROI は防止された侵害コストと脆弱性修正コストの差で計算し、6-12ヶ月で回収できるケースが多いです。
よくある質問
自分で調べてもよいですか。
公開情報の確認、公式設定の見直し、自分が管理するアカウントのログ確認は有効です。ただし、他人の端末やアカウントへ入る行為、秘密の監視、攻撃ツールの実行は避けてください。
すぐに対応すべき合図は何ですか。
不審なログイン通知、見覚えのない送金、パスワード変更メール、端末の異常な挙動、知らない転送設定、削除できないアプリがある場合は、証拠を保存して早めに相談してください。
相談時に何を送ればよいですか。
発生日時、対象、画面のスクリーンショット、届いたメール、取引ID、すでに試した対策、希望する成果物を整理してください。秘密情報やパスワードは、依頼範囲と安全な共有方法が決まるまで送らないでください。
再発防止の考え方
一度問題が落ち着いても、同じ原因が残っていれば再発します。多要素認証、権限の見直し、端末更新、バックアップ、従業員教育、監視ルール、インシデント時の連絡手順を整えることで、次の被害を早く検知できます。個人の場合も、主要アカウントの復旧先、家族との確認手順、重要データの保管場所を見直すことが大切です。
まとめ
脆弱性評価と侵入テストの違いで大切なのは、早さよりも正しい順序です。違法なハッキングを避け、許可された範囲で調査し、証拠を守りながら復旧と再発防止につなげることで、検索で得た知識を安全な行動に変えられます。緊急性が高い場合は、状況を整理したうえで/ja/contactから相談してください。関連する診断や調査は/ja/servicesでも確認できます。
どちらを優先すべきですか。
まず VA で網羅性を確保し、その後に PT で深さを検証するのが標準的です。
費用はどのくらいですか。
VA は 30-200 万円、PT は 150-1500 万円が目安ですが、対象範囲により大きく変わります。
社内のみで実施できますか。
VA は一部可能ですが、PT は熟練テスターによる外部評価が推奨されます。
レポートはどこまで詳細ですか。
再現手順、影響範囲、修正方法、再発防止策の四つを含むのが標準です。
頻度はどのくらいがよいですか。
VA は月次または四半期、PT は年一または重大な変更後が標準です。
黒箱と白箱の違いは。
黒箱は外部からのみ攻撃、白箱は全情報あり、灰箱はその中間です。白箱は最も深い検証が可能です。
報告書は経営層に渡すべきですか。
はい。ただし技術的詳細よりビジネス影響と修正の優先度を強調したサマリーが望ましいです。
クラウド環境のテストはどう違いますか。
クラウド特有の設定ミス、IAM 権限、API セキュリティに焦点を当てたテストが追加で必要です。