【2024】セキュリティ診断サービスを徹底比較!機能や価格・選び方を解説


脆弱性診断ツールは、ネットワークやシステムのセキュリティホールを調査し、診断するサービスです。診断手法として、独自ツールによる自動診断や、過去の攻撃データや専門エンジニアの経験に基づく擬似攻撃による手動診断があります。

外部脅威全般および、標的型攻撃による内部端末のマルウェア感染、オペレーションミスや内部犯行などによる情報漏えいなどが診断対象となります。

以下、脆弱性診断ツールについて、それぞれの特徴や機能、契約プラン、導入レビューを紹介します。製品の選定に際して、導入メリットや選び方などの詳細を確認したい方は、選定ガイドをご参照ください。

セキュリティ診断サービスで注目のサービス

セキュリティ診断サービスの比較・レビュー

人気条件
絞り込み条件を追加する
1〜6件を表示/全6
並び順:
logo
セキュリティ診断サービス
無料期間あり
注目サービス

Securify(セキュリファイ)

株式会社スリーシェイク
Securify Webアプリケーション診断は脆弱性診断ツールです。 【専門知識は不要!】URLを登録し最短3ステップで診断開始 【シンプルで直感的】使いやすいインターフェイスで操作も楽々 【継続的診断が可能】明確なレポートと予約機能で継続的な診断を 導入まで手厚くサポート!簡単な操作でベースラインのセキュリティ品質を向上させ、 Webアプリケーションを攻撃者から守ります。

特長

  1. 専門知識不要!URLを登録し最短3ステップで診断開始
  2. シンプルで直感的な操作!使いやすいインターフェイス!
  3. わかりやすい診断結果で継続的なセキュリティ改善へ

プラン・価格

  1. ベーシック
    月額料金:100,000円 ※年間契約
  2. スターター
    月額料金:50,000円 ※年間契約
など
詳細を見る
セキュリティ・プラス Webアプリケーション診断サービスは、株式会社アズジェントが提供するセキュリティ診断サービスです。専門の技術者が、機械的な脆弱性診断ツールでは分からないWebサイトの問題を検出します。発見された問題とその対処方法について、プロによるアドバイスを受けることができます。診断対象は会員向けサイトやECサイト、オンラインバンキングなど、Webアプrケーションであればその業種や用途を問いません。

特長

  1. セキュリティ専門技術者によるWebアプリケーション診断
  2. Webアプリケーションの用途や業種を問わず、幅広く対応可能
  3. 診断作業はリモートで実施可能。要望に合わせて訪問も

プラン・価格

  1. 初期費用
    問い合わせ
  2. 運用費用
    問い合わせ
logo

Burp Suite

PortSwigger Ltd
  • avatar
  • avatar
2人が「利用した」しています。
Burp Suiteは、PortSwigger Ltdが提供するセキュリティ診断サービスです。ブラウザとWebサーバー間の通信内容を確認するローカルプロキシツールとして、Webアプリケーションの脆弱性を診断します。100を超える一般的な脆弱性をカバーし、OWASPトップ10のすべての脆弱性を診断します。企業のニーズに合わせた2種類のプランがあり、Burp Suite Enterpriseでは定期的なスキャン設定や、拡張機能、CI統合機能を搭載。Burp Suite ProfessionalではBurp Proxyを利用して自由にカスタマイズが可能です。無料でダウンロードして利用することができるBurp Suite Community Editionも提供しており、基本的な手動ツールで診断を行うことができます。

特長

  1. ローカルプロキシツールとして、Webアプリケーションの脆弱性を診断
  2. 企業のニーズに合わせた2種類のプランを用意。手動カスタマイズも可能
  3. 基本的な手動ツールは無料でダウンロードして利用できる

プラン・価格

  1. 初期費用・運用費用
    問い合わせ
logo

Vuls

フューチャー株式会社
  • avatar
1人が「利用した」しています。
Vulsは、フューチャー株式会社が提供するセキュリティ診断サービスです。GitHubのOSSとして脆弱性チェックは無料で利用することができます。日々更新される膨大な脆弱性データの中から、管理下システムに関係するリスクベースでの対応判断に必要な脆弱性情報のみを検出し通知します。Vulsと連携可能な脆弱性管理ツール「FutureVuls」で脆弱性情報をCVE-ID単位で組織内に共有。そのままシームレスに対応状況の可視化や追跡が可能です。GitHubスターを7,000以上獲得しており、IPA(情報処理推進機構)が脆弱性対策を効果的行うためのツールとしてVulsを紹介しています。多くの技術者や第三者機関からも支持されているツールです。

特長

  1. 膨大な脆弱性データの中から、リスクベースでの対応判断ができる情報を抽出
  2. CVE-ID単位で脆弱性情報をチームに共有。シームレスな対応を可能に
  3. GitHubでOSS提供。スターを7,000以上獲得し、技術者から高評価を得る

プラン・価格

  1. 初期費用・Vuls
    0円
  2. FutureVuls standard
    4,000円/月額
など
logo

SiteLock

GMOグローバルサイン・ホールディングス株式会社
  • avatar
1人が「利用した」しています。
SiteLockは、GMOグローバルサイン・ホールディングス株式会社が提供するセキュリティ診断サービスです。国内外1,200万を超える導入サイトから膨大な量のデータを蓄積し、脅威の傾向を監視することで、Webサイトやアプリケーションに潜む危険を早期検知し、自動対処します。サイトの脆弱性の診断と合わせて、不正改ざん監視やマルウェアの自動駆除も行うことができます。FTP/SFTP/FTPSのアカウント情報からWebサーバーへアクセスし、既知のマルウェアや悪意のあるコード・ファイルを自動的に削除します。WordPressや、その他さまざまなアプリの診断も実施可能で、緊急性の高い脆弱性が検知された場合はリスクアセスメント機能で対応方法などのアドバイスを確認することができます。

特長

  1. Webサイトやアプリケーションにおける脅威を早期検知・自動対処
  2. Webサーバーにアクセスし、不正改ざんやマルウェアも検知し、自動削除
  3. WordPressや幅広い人気アプリの診断も可能

プラン・価格

  1. 初期費用
    0円
  2. エントリー
    4,200円/年額
など
logo

Nessus

Tenable,Inc.
Nessusは、Tenable,Inc.が提供するセキュリティ診断サービスです。セキュリティ担当者の業務内容を深く理解し、セキュリティ実務者によって開発されました。構成の検証からパッチ管理の有効性まで網羅した、幅広いIT・モバイル資産で利用できる事前設定済みのポリシーとテンプレートを搭載。導入日からすぐに使用を開始することができます。スキャン後の結果は、脆弱性のグループ化機能や、カスタマイズ可能なレポートにより分かりやすく管理・報告が可能です。業界最多の6,000件以上のCVEを持ち、業界でもNo1のデータの正確性を誇ります。世界24,000以上の組織から信頼され、200万ダウンロードの実績を誇る、信頼性の高いツールです。

特長

  1. 事前設定済みのポリシーやテンプレートを搭載。導入初日から使用できる
  2. スキャン結果は分かりやすくグループ化し、カスタマイズしてレポート化
  3. 業界No1の正確性さで、世界24,000以上の組織から信頼を得ているツール

プラン・価格

  1. 初期費用
    0ドル
  2. 運用費用
    2,790ドル〜/年額

セキュリティ診断サービスの選定ガイド


本記事では、脆弱性診断ツールについて、その役割やサービス比較のポイントを紹介しています。

脆弱性診断ツールとは

脆弱性診断ツールとは、自社で開発したアプリケーションをはじめ、サーバーやOS、ネットワーク機器などに対し、セキュリティ上の脆弱性を網羅的に調査するツール、またはサービスです。

診断対象にセキュリティホールがないかを把握し、脆弱性が確認された場合は、原因を解明して適切な処置を診断します。

脆弱性診断とペネトレーションテストの違い

ペネトレーションテストと脆弱性診断は、どちらもシステムに対するセキュリティテストという点は共通していますが、目的や実施方法、診断結果が異なります。

以下は脆弱性診断とペネトレーションテストの主な違いです。

脆弱性診断ペネトレーションテスト
目的システムの脆弱性を網羅的に洗い出す攻撃シナリオに基づきシステムの脆弱性から発生しうるリスクを発見、評価する
実施方法システムをセキュリティ規格などに照らし合わせ、一定の基準を満たしているかどうかを確認さまざまなサイバー攻撃を用いて、攻撃目標が達成できるかを試行
診断結果・発見した脆弱性リスト
・脆弱性の発生原因、解決方法
・攻撃シナリオ
・攻撃による被害や影響の範囲

ペネトレーションテスト(侵入テスト)は、明確な意図を持ったサイバー攻撃を疑似的に仕掛け、脆弱性対策の有効性を評価するテストのことです。

具体的には、攻撃者の目標と行動に基づいたシナリオを作成し、それに沿って疑似攻撃を行うことで、目標の達成リスクや脆弱性が悪用される可能性を検証します。

シナリオに沿った検証という特徴上、単に脆弱性の発見そのものを目的とはしておらず、「その脆弱性を突いてシステムに侵入されるか否か」「この侵入ルートで情報の窃取は可能か」など、特定の攻撃に対する成否を導き出し、評価することを目的としています。

脆弱性診断ツールの選び方・比較ポイント

脆弱性診断ツールを選ぶ前に、診断実施のタイミングを明確にしておく必要があります。開発・システム担当者と相談し、システムがまだリリースされていない場合は開発プロセスのどこに診断を組み込むのか、すでに運用しているシステムであれば、ユーザーに影響が出にくいタイミングはどこかなど、担当者の意見をもとにタイミングを決定しましょう。

脆弱性診断ツールの選び方・比較ポイントは以下4つです。

  1. 診断対象
  2. 診断方法
  3. 診断結果のとサポートの信頼性
  4. 利用料金

1. 診断対象

脆弱性診断ツールは、製品やサービスによって診断可能な対象が異なります。まずは診断対象を明確にし、診断の重要度に応じて優先順位をつけましょう。

主な診断対象
  • Webアプリケーション
  • サーバー
  • ネットワーク機器
  • OS、ミドルウェア
  • Webコンテンツ
  • ソースコード
  • スマホアプリ

診断対象に応じて、マルウェアの検知やWebサイトの改ざん検知などの診断項目が設定されています。自社が課題としているセキュリティリスクを基に、診断項目をここで決めましょう。

2. 診断方法

脆弱性診断を実施する方法は、以下の3種類に分かれます。

  • ツールによる自動診断
  • 専門技術者による手動診断
  • ツール診断+技術者診断

ツールを用いた診断は、人的負担が少なく、診断に時間がかからないため、コストを抑えつつ短期間で多くのテストを行うことができます。しかし、あらかじめ診断ツール上でプログラムされた条件(パターン)での診断となるため、手動の診断に比べると柔軟性が低いです。

技術者による診断は、複数のパターンの検証など柔軟かつ細かい診断が可能なため、精度が高いです。ただし、人員の確保に時間がかかったり、人的コストがかかるため、費用が高くなる傾向があります。

ツールによる自動診断と検査員による手動診断を組み合わせて行うサービスは、高精度の診断を希望する場合に選ぶと良いでしょう。時間とコストはかかりますが、個人情報を大量に扱うECサイトやSNS、大規模なサービスの運営会社は依頼する価値があります。

3. 診断結果のとサポートの信頼性

脆弱性診断ツールは、進化するサイバー攻撃に対応するために脆弱性の診断結果の信頼性が高くなければいけません。

サービスサイトに掲載されている実績では、過去に診断実績があるサービス領域の事例が多く掲載されています。信頼性を確認するために、自社に近いサービスや規模、課題を持った企業の事例を参考にするといいでしょう。

また、セキュリティ上の課題や問題点が判明しただけで、改善できなければ診断する意味がありません。診断内容レポートやフィードバックに加えて、改修後の再診断やウイルスの駆除などがサポートされているかを担当者に聞いておきましょう。

4. 利用料金

脆弱性診断ツールの料金体系は診断項目数、診断範囲ごとに料金が変化するのが一般的です。目的から診断項目を明確にし、妥当性のある料金プランを選びましょう。

脆弱性診断ツールの中には無料で提供されているものもあり、無料のツールを提供しているベンダーが有料版のツールも提供しているのであれば、診断の精度そのものに変わりはありません。

自社が目指すセキュリティ強度を満たせるのであれば無料のものでも問題はありませんが、利用の際には下記2点の注意が必要です。

  1. サポートがついていない
  2. 診断項目やスキャンの範囲に制限がある

上記の理由から、企業で脆弱性診断ツールを導入する場合、無料版はレポートの見やすさや管理のしやすさを確認するための体験版に留め、有料のツール・サービスを検討することを推奨します。

脆弱性診断の主な診断項目

以下は脆弱性診断ツールによる診断項目の一覧です。※機能名称や内容は製品によって異なることがあります。

  • プロダクトバージョン検査
  • 脆弱性検査
  • OS/ソフトウェアの脆弱性検査
  • SQLインジェクション
  • OSコマンドインジェクション
  • ホスト情報
  • TCP/UDPなどのサーバー・ネットワーク機器検査
  • サービス設定検査
  • 不要ディレクトリ検査
  • サーバー設定の問題有無
  • アカウント検査
  • 脆弱パスワード利用検査

注目度の高いサービス
サービスを自身で比較する
本人確認をモバイル端末から実施できるソフトです。手続きの手間や各種書類の郵送コストを削減できます。
インターネットや電話回線を介し会社のPCやネットワークへの安全なアクセスをサポートするサービスです。
複数のセキュリティ機能やネットワーク構築機能などを統合して集中的に脅威対策・管理を行うシステムです。
オフィスの壁面や天井に取り付けることで、Wi-Fi接続が可能な環境を構築できます。
複数システムのID・アクセスを統合管理するソフトウェアです。管理効率と利用利便性向上に貢献します。
配信したメールの開封状況を取得できます。分析機能により、配信効果の高いユーザー層の把握も可能です。