脆弱性スキャンとは？

脆弱性スキャンとは、IT システム、ネットワーク、API、アプリケーションに存在するセキュリティ上の欠陥が悪用される前に、それらを特定して分析するプロセスです。これらの弱点には、パッチの未適用、設定ミス、古いソフトウェアバージョン、攻撃者に一般的に悪用される露出が含まれます。脆弱性スキャンは、組織が実際の攻撃で悪用される前に問題を見つけて修正するのに役立ちます。

脆弱性スキャンが重要なのはなぜですか？

脆弱性スキャンは、次の点で役立つため、基盤となるセキュリティ対策です：

• 攻撃者に先を越される前に、早期にセキュリティギャップを特定します

• 公開されているサービス、安全でない設定、未修正のソフトウェアを見つけて、攻撃対象領域を縮小します

• PCI DSS、SOC 2、ISO 27001、HIPAA  などのコンプライアンス要件を満たします。

• 最も重大なリスクを強調して、修復作業の優先順位を決定します

• 継続的に弱点の可視性を提供することで、全体的なセキュリティ体制を改善します。

定期的なスキャンを行わない場合、組織はセキュリティプログラム全体の健全性に関する実際のデータやインサイトではなく、セキュリティ体制についての想定に頼ってしまうことがよくあります。

脆弱性スキャンは、全体的なセキュリティ戦略の中でどのように位置づけられますか？

脆弱性スキャンは単独のソリューションではなく、より広範な多層的セキュリティアプローチの一部です。

脆弱性スキャンは、次のセキュリティ対策と連携して機能します：

• 特定された問題を修正するためのパッチ管理

• 脆弱性をすぐに修正できない場合に、補完的なコントロールを提供するためのWeb アプリケーション ファイアウォール (WAFs)

• 高リスクの検出結果をより深く手動で検証するためのペネトレーションテスト

• 悪用の試みを検出するためのモニタリングとインシデントレスポンス

• デプロイ前に脆弱性を減らすための安全な開発プラクティス（DevSecOps）

脆弱性スキャンは継続的な可視性と考えることができる一方で、他のコントロールはセキュリティ上の検出事項に対する防止、保護、レスポンスを提供します。 

脆弱性スキャンにはどのような種類がありますか？

異なるスキャンは、環境内の異なる部分に焦点を当てます。

ネットワーク脆弱性スキャン

• IP アドレス範囲とネットワークサービスをスキャンします

• 開いているポート、公開されているサービス、脆弱なプロトコル、不足しているパッチを特定します

アプリケーション脆弱性スキャン

• Web アプリケーションと API に重点を置いています

• SQL インジェクション、クロスサイトスクリプティング（XSS）、安全でない認証などの問題を検出します

ホストベースの脆弱性スキャン

• 個々のサーバー、エンドポイント、または仮想マシンをスキャンします

• OS レベルの脆弱性、設定ミス、古いパッケージを検出します。

クラウド設定スキャン

• クラウドインフラストラクチャを評価します

• 過度に許可された IAM ロールや公開されたストレージバケットなどの設定ミスを検出します

認証済みスキャンと未認証スキャンの比較

• 認証されていないスキャンは、外部攻撃者の視点をシミュレートします。

• 認証済みスキャンでは、認証情報を使用してシステム内部のより深く、より正確な結果を提供します

脆弱性スキャンはどのように機能しますか？

ほとんどの脆弱性スキャナーは、同様のプロセスに従います:

アセット検出
スキャナーは、評価対象のシステム、アプリケーション、またはエンドポイントを特定します。

フィンガープリンティングと列挙
このツールは、ソフトウェアのバージョン、サービス、設定に関する情報を収集します。

脆弱性の検出
スキャナーは、検出結果を OWASP トップ10。 のような既知の脆弱性データベースと比較します。

リスクスコアリングとレポート作成
検出された問題は、重大度と悪用可能性に基づいて分類され、優先順位が付けられます。

修復と検証
チームは問題を修正し、修復が成功したことを確認するために再スキャンします。 

最新のツールは、多くの場合、CI/CD パイプラインやチケット管理システムと統合して、このワークフローを自動化します。

さまざまな脆弱性スキャンツールにはどのようなものがありますか？

脆弱性スキャンツールは、焦点と環境によって異なり、次のものが含まれます：

• ネットワーク脆弱性スキャナー。 インフラストラクチャと境界領域の評価に使用されます。

• Web アプリケーションスキャナー（DAST）。アプリケーションレイヤーの問題を特定するために使用されます。

• 静的アプリケーションセキュリティテスト（SAST）ツール。 ソースコードのスキャンに使用されます。

• クラウドセキュリティポスチャ管理（CSPM）ツール。クラウド設定のリスク評価を支援します。

• コンテナおよび依存関係スキャナー。イメージ、ライブラリ、サードパーティコンポーネントのスキャンに役立ちます。

多くの組織では、インフラストラクチャ、アプリケーション、API、クラウド環境をカバーするために、複数のツールを組み合わせて使用しています。

脆弱性スキャンのベストプラクティスとは何ですか？

脆弱性スキャンを最大限に活用するには：

• 定期的にスキャンしてください（年1回やコンプライアンス対応のためだけでなく）。

• 見落としがないように、アセットインベントリを常に最新の状態に保ちます。

• 可能であれば、精度を高めるために認証済みスキャンを使用してください

• CVSS スコアだけでなく、実際のリスクに基づいて脆弱性の優先順位を付けてください。

• 誤検知を減らすために検出結果を検証します

• 問題をより早く検出するために、スキャンをCI/CDパイプラインに統合してください。

• 即時の修正が不可能な場合は、スキャンを補完的なコントロール（WAF など）と組み合わせてください

• 改善と説明責任を測定するために、修復対応を継続的に追跡します

脆弱性スキャンは、一度限りのタスクではなく、継続的なプロセスとして扱う場合に最も効果的です。予防、監視、レスポンスのコントロールと組み合わせることで、最新のセキュリティ・プログラムの重要な柱となります。

Fastly のソリューションが役立つ理由

前述のとおり、脆弱性スキャンとより広範なセキュリティの取り組みは密接に連携しています。Fastly の Next-Gen WAF は、脆弱性スキャンで特定された脆弱性をすぐに修正できない場合に、補完的なコントロールを提供するのに役立ちます。The Fastly Next-Gen WAF は、アプリケーション、API、マイクロサービスがどこにあっても、単一の統合ソリューションから高度な保護を提供します。