ホームページ(HP)の脆弱性診断をするには？方法や選び方を解説

近年、インターネットの発展に伴い、個人情報の取り扱いや商取引もオンラインで行われています。これに伴い、安全なWebサイトを作り、セキュリティ対策を施すことは、利用者を守るために欠かせない企業の責務となっています。
特にホームページ（HP）やWebサイトへの不正アクセスなどサイバー攻撃の被害は毎年のように報道されていますが、その多くはセキュリティの欠陥である「脆弱性」が原因です。
本記事では、コーポレートサイトなどに代表されるホームページ（HP）やWebサイトにおける脆弱性診断の重要性、診断の実施タイミング、方法、選定ポイントについて詳しく解説します。

ホームページの脆弱性診断なら
月額4万円で使える ネットde診断 ASM

注目されるホームページの脆弱性診断

ホームページやWebサイトなど、企業外の人物でもアクセスが前提となるデジタル資産は、サイバー攻撃者に狙われやすいと言われています。そのため、セキュリティ対策が不十分であると、つまりWebサイトの脆弱性に気づかずにいると、サイバー攻撃者による不正アクセスやデータ流出、サービス停止などの深刻なセキュリティ事故を引き起こす可能性があります。

ホームページの管理者は、事前にセキュリティ上の欠陥を見つけるために脆弱性診断を行い、脆弱性対策を講じることが非常に重要です。ホームページが、サイバー攻撃者から狙われやすい理由は主に以下が挙げられます。

インターネットを通じて公開されているため

ホームページやWebサイト、Webアプリケーションは、インターネットを介して誰でもアクセスできることを前提としているため、攻撃者も容易に攻撃対象を見つけることができます。

重要な情報を扱っているため

多くのWebサイトは、問い合わせフォームへの入力など、利用者が入力した個人情報など重要な情報をシステムで受け付けることを前提に作られています。サイバー攻撃者からすると、扱っている情報を窃取できるWebサイトは非常に魅力的です。

高性能な情報資産であるため

ホームページで扱っている情報に価値がない場合でも、ホームページが構築されているサーバーの性能などに価値を見出して、攻撃者の標的となる可能性もあります。例えば、サーバーの情報処理能力を不正に利用することで、仮想通貨の不正マイニングに利用されるなどがあります。

ホームページ、Webサイト、Webアプリケーションの違いとは？

ところで、ホームページの脆弱性診断を探していると、ホームページやWebサイトの他にも、Webアプリケーションという用語が使われることがあります。Webアプリケーションとは、ホームページやWebサイトを構築しているプログラムのことを差します。そのため、ホームページやWebサイトの脆弱性診断をしたい場合は、セキュリティベンダーから提供されている「Webアプリケーション診断」のサービス名の脆弱性診断を選択しましょう。

脆弱性が原因となるセキュリティ事故の被害事例

それでは過去、脆弱性が原因となり発生したサイバー被害事例はどのようなものがあるのでしょうか。

被害事例1：個人情報漏洩

アメリカの大手信用情報機関は、脆弱性を突かれて大規模な個人情報漏洩が発生しました。Webアプリケーションに存在する未修正の脆弱性（Apache Struts2の脆弱性）を悪用し、約1億4300万件の個人情報が盗まれたとされています。この事故は、脆弱性診断を実施していれば、事前に脆弱性対策ができたため、サイバー攻撃の被害を防げた可能性が高いとされている事故です。

被害事例2：Webサイト改ざん

脆弱性が悪用され、WebサイトやWebアプリケーションが改ざんされてしまう被害事例はたびたびニュースになります。例えば、多くの企業サイトで利用されているCMSであるWordPressには、古いバージョンや、古いプラグインを利用している場合は、脆弱性が残存している可能性があります。過去には、脆弱性が起因となり、スパムメールの不正配信が行われたり、悪意のあるファイルがWebサイトにアップロードされたりする被害が発生しました。

ホームページやWebサイト、Webアプリケーションの脆弱性に気づかず、サイバー攻撃にあってしまうと、自社単体だけでなくお客様にも被害が及ぶ可能性があります。脆弱性に気づき、あらかじめ対処できていれば、被害が防げる可能性も高まります。

脆弱性が原因となるセキュリティ事故の教訓もあり、近年、経済産業省など政府機関も、民間企業に対して脆弱性対策の重要性の周知に力をいれています。

脆弱性診断とは？レンタルサーバーの脆弱性診断は可能？

セキュリティ事故を起こさないため、脆弱性対策を行うことが非常に重要ということを解説してきました。しかし、根本的な脆弱性対策の方法は、脆弱性を特定し、脆弱性を修正するということ以外にありません。そのため、自社のホームページやWebサイトを構成する様々な技術要素に、セキュリティ上の弱点（脆弱性）があるかないか、まずは特定することが脆弱性対策のファーストステップになります。
セキュリティ上の弱点（脆弱性）を特定するために必要なことが「脆弱性診断」です。

自社のWebサイトは小規模だからサイバー攻撃者に狙われないということはなく、誰でもサイバー攻撃の被害にあう可能性があります。

関連記事：脆弱性診断(セキュリティ診断)とは？必要性など基礎から解説

レンタルサーバでの脆弱性診断の実施可否はサービスにより異なりますので、サービス提供元に確認しましょう。
ConoHa、ロリポップ、ヘテムルといったレンタルサーバーでは、利用者が直感的な操作ですぐに脆弱性診断を実施できるオプションが用意されています。自社のWebサイトを構築しているレンタルサーバーで、脆弱性診断を実施できるかを確認してみましょう。

参考：ネットde診断（脆弱性診断）｜レンタルサーバーならConoHa WING

脆弱性診断の種類は何がある？

脆弱性診断の方法を大きく分けると2種類に分類することができます。

ツール診断（自動診断）

ツール診断は、ホームページやWebサイト、アプリケーションをスキャンして脆弱性を自動的に検出する脆弱性診断の手法です。これらのツールは、迅速に診断結果を得ることができるため、初期診断や定期的なスキャンに便利です。近年では、セキュリティ知識がなくても直感的に操作ができるツールも、セキュリティベンダーから提供がされています。

関連記事：脆弱性診断ツールの種類や選び方のポイント

手動診断

ツールでは検出できない複雑な脆弱性を発見するためには、専門的な知識を持ったセキュリティエンジニアによる「手動診断」が有効です。手動での診断は、システムの処理手順やソースコードに起因した問題や、ユーザーの操作を想定した診断を行うことで、より高い精度で脆弱性を見つけ出すことができます。

番外：ペネトレーションテスト（侵入テスト）

手動診断の手法の一つである「ペネトレーションテスト」は、実際に攻撃者になりきってWebサイト、Webアプリケーションに侵入を試みるテストです。この方法では、実際の攻撃シナリオをシミュレーションし、システムがどのように脆弱性に反応するかを確認します。ペネトレーションテストは、費用や事前準備などのコストが他診断よりもかかるものの、セキュリティを評価する上で非常に効果的です。

脆弱性診断を実施するタイミングは？

自社のホームページやWebサイトやWebアプリケーションに脆弱性があるかないかを発見するためには、脆弱性診断を行うことは非常に重要です。

それでは、いつ脆弱性診断を実施すればよいのでしょうか。脆弱性診断のタイミングは、セキュリティ事故を起こさないためにも非常時に重要です。診断を行うべきタイミングを見逃さないことが、セキュリティを維持するための鍵となります。

構築時

新しいホームページやWebサイト、Webアプリケーションを構築する際には、必ず初期診断を実施することが重要です。開発段階で脆弱性が見つかれば、システム全体に影響を与える前に修正することができます。これにより、開発段階でのセキュリティリスクを最小限に抑えることができます。

定期診断

Webサイトやアプリケーションは、セキュリティの脆弱性を発見し修正することなく放置しておくと、攻撃者に狙われやすくなります。システムやソフトウェアがアップデートされるたびに新たな脆弱性が生じる可能性があるため、定期的に脆弱性診断を実施することが重要です。

大規模改修時の診断

WebサイトやWebアプリケーションに新たな機能追加や大規模なアップデートが行われる際には、その都度脆弱性診断を実施することが推奨されます。特に、データベースや認証システムに変更が加わる場合、影響範囲が広くなりがちのため、慎重な診断が求められます。

万全のセキュリティ対策をするには、継続的かつ定期的にツール診断を前提に、システムアップデートなど重要なタイミングには、サイバー攻撃対策の専門家による手動診断を実施することが理想です。自社にとってどのような脆弱性診断が必要かを決めておくことが重要です。

脆弱性診断の選定ポイント

脆弱性診断を外部のセキュリティベンダーに依頼する場合、信頼性の高い業者を選定することが重要です。以下のポイントを参考にして選定しましょう。

参考：脆弱性診断の費用は？価格相場や比較ポイントを解説

実績

脆弱性診断を提供するセキュリティベンダーが過去にどれだけの実績を持っているかを確認しましょう。加えて、経済産業省が定めた情報セキュリティサービス基準に適合することが確認されたサービスは、IPAから「情報セキュリティサービス基準適合サービスリスト」として公開されています。

診断の範囲

脆弱性診断によって診断範囲が異なるため、どの部分まで診断してもらえるのかを事前に確認しましょう。WebサイトやWebアプリケーションの脆弱性診断だけでなく、CMS、クラウドプラットフォーム、ネットワークといったレイヤーのセキュリティも診断できる業者を選ぶことが理想的です。

診断の精度・深さ

診断の精度や深さを求める場合には、脆弱性診断の中で、どの程度深掘りしてシステム固有の調査をしてくれるかを確認します。例えば、診断対象のシステム用途を考慮して、どのような観点で診断をしてくれるのか、確認しましょう。

ガイドラインの適合

IPAが公開している「安全なWebサイトの作り方」をはじめ、国際的なセキュリティ基準であるOWASP（Open Web Application Security Project）、ASVS（Application Security Verification Standard）など、脆弱性診断の診断基準を確認することも重要です。

診断結果の内容

診断結果として提供されるレポートの内容がわかりやすく、具体的な改善策が示されていることが重要です。また、脆弱性診断のレポートを受け取った後にも、検知された脆弱性対策方法や脆弱性対策の優先順位をサポートできる知見を持つセキュリティベンダーを選定することが重要です。

脆弱性診断を行う際に参考になるガイドライン

脆弱性診断を行う際に参考になる信頼性の高いガイドラインを紹介します。脆弱性診断を提供するセキュリティベンダーやツールが、以下のガイドラインに対応した脆弱性診断を行っていれば、有効な脆弱性対策を講じることにつながります。

OWASP Top 10

OWASP（Open Web Application Security Project）は、Webアプリケーションのセキュリティに関するベストプラクティスを提供している団体で、毎年「OWASP Top 10」というリストを公開しています。このリストは、Webアプリケーションのセキュリティリスクとして最も重要な10項目を挙げたもので、診断に役立つ基準となります。脆弱性診断を選定する際には、OWASPが公開しているセキュリティリスクに対応しているかも意識しましょう。

参考：OWASP Top Ten

安全なWebサイトの作り方

IPA 独立行政法人 情報処理推進機構による、Webアプリケーションのセキュリティ運用と安全性向上の為の取り組みをまとめた資料です。届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、Webサイト開発者や運営者が適切なセキュリティを考慮したWebサイトを作成するためのポイントがまとめられています。

参考：安全なウェブサイトの作り方 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

政府情報システムにおける脆弱性診断導入ガイドライン

政府情報システムにおける脆弱性診断を円滑かつ効果的に実施するための基準や方針を定めるものです。システムに内包するセキュリティ上の弱点を特定し、サイバーセキュリティリスクに対処するために、「構築時診断」と「定期診断」の2種類の診断方法を提示しています。

政府機関向けのガイドラインではありますが、本ガイドラインは重要情報や個人情報を取り扱うあらゆる組織の脆弱性診断実施の基準や方針として活用できる汎用的な内容となっていますので、ぜひ皆様の組織においても本ガイドラインを参考にした体制や対策の見直しをお勧めします。

参考：政府情報システムにおける 脆弱性診断導入ガイドライン 2024（令和 6）年1月31日 デジタル庁

おすすめの診断プラン

本記事では、ホームページやWebサイトの脆弱性診断が求められる理由、脆弱性診断を行うタイミング、脆弱性診断の選定ポイントなどを解説しました。

GMOサイバーセキュリティ byイエラエでは、サイバー攻撃対策に関する知識の有無にかかわらず、お客様が自社にとって最適な脆弱性診断を選べるように複数の脆弱性診断サービスを提供しています。自社で解決したいポイントごとに、GMOサイバーセキュリティ byイエラエのおすすめのサービスをご紹介します。ご参考にしてみてください。