脆弱性スキャン
システムやネットワークの機器を調べて、動いている OS やソフトウェア、開いているポートなどを特定し、既知の脆弱性の情報と照らし合わせて、
脆弱性がありそうな所を見つける技術です（英語では vulnerability scanning）。CISSP では
CISSPドメイン6 セキュリティの評価と試験で、脆弱性の評価の手法として扱います。見つけた脆弱性は、
脆弱性管理で優先度を付けて直します。
定義
NIST SP 800-115（技術的なセキュリティの試験と評価の手引き、2008年9月）は、脆弱性スキャンを「ホストとその属性、関連する脆弱性を特定するための技術」としています。ポートとサービスを特定する技術と同じくホストとその属性（OS、アプリケーション、開いているポートなど）を特定し、さらに、人の解釈に頼らずに脆弱性を特定しようとする点が違うと説明しています。
何が分かるか
SP 800-115 によると、脆弱性スキャンは、ホストで動く OS と主なアプリケーションを特定し、スキャナが持つ既知の脆弱性のデータベースと照らし合わせることで、次のことを見つけるのに役立ちます。
- 古い版のソフトウェア
- 当てていない修正（パッチ）
- 設定の誤り
- 組織のセキュリティの方針に合っているか、外れているか
スキャンの種類
SP 800-115 は、次のように分けています。
- ホストの上で動かすか、ネットワーク越しに動かすか
- ネットワーク越しのスキャンで、ホストの管理者の認証情報を使うか、使わないか。使わない場合は、主にネットワーク上のホストと開いているポート、それに関係する脆弱性を見つけることになる
- 内部から行うか、外部から行うか。内部からの方が多くの脆弱性を見つけることが多いが、両方の立場から行うことが大事だとしている
違い・誤解しやすい点
- 「結果はそのまま正しい」：SP 800-115 は、脆弱性スキャナは誤検知（無い脆弱性を報告すること）の割合が高いことがあるとし、ネットワークと OS のセキュリティの専門知識を持つ人が結果を解釈するよう求めています。スキャナが付けたリスクの段階をそのまま受け入れず、評価の担当が、組織にとっての実際のリスクを脆弱性ごとに判断するべきだともしています
- 「スキャンで全体のリスクが分かる」：SP 800-115 は、ネットワーク越しの脆弱性スキャンは、動いているシステムの脆弱性しか見つけられず、主に表面の脆弱性を扱うもので、ネットワーク全体のリスクの水準は扱えないとしています
- 「スキャンで出なければ脆弱性は無い」：SP 800-115 は、スキャナは、シグネチャ（既知の脆弱性の情報）に頼るほかの道具と同じく、見逃しの割合が高いとし、自動のスキャナで見逃した脆弱性は、複数のスキャナやほかの試験で見つけられることがあるとしています。スキャンの前に、スキャナのデータベースを最新にする必要もあります（SP 800-115）。独自に作ったソフトウェアには、静的解析・動的解析などの追加の方法が要ることがあります（NIST SP 800-53 Rev. 5 の管理策 RA-5 の解説。SP 800-53 は、セキュリティとプライバシーの管理策の一覧で、どれを求めるかは組織がシステムの重要度に応じて選ぶ）
- 「スキャンは対象に影響しない」：SP 800-115 は、脆弱性スキャンはポートのスキャンより多くの通信を生み、対象のホストやネットワークに悪い影響を与えうるとしています。サービス不能の攻撃を試す検査を含むスキャナもあり、それを外す設定ができることが多いとしています
- [[ペネトレーションテスト]]との違い：脆弱性スキャンは脆弱性がありそうな所を洗い出し、ペネトレーションテストはそれが実際に悪用できるかを確かめます
- [[脆弱性管理]]との違い：脆弱性スキャンは見つける手段の一つで、脆弱性管理は、見つけたものに優先度を付けて直し続ける取り組みの全体です
使い方の要点
SP 800-53 Rev. 5 の管理策 RA-5（脆弱性の監視とスキャン）は、主に次のことを挙げています（要約。表の下の1文は解説から）。
| 項目 |
内容 |
| 定期的に、そして新しい脆弱性が出たときに |
組織が決めた頻度で（または決めた手順で無作為に）、また、システムに影響しうる新しい脆弱性が見つかって報告されたときに、スキャンする |
| 標準を使う |
プラットフォーム・ソフトウェアの欠陥・設定の誤りの列挙、チェックリスト、影響の測り方に、標準を使う道具を選ぶ（例えば、脆弱性を CVE（脆弱性に付ける共通の識別番号）で示し、影響を CVSS（深刻度を数値で表す共通の方法）で示す道具） |
| 結果を分析する |
スキャンの報告と監視の結果を分析する |
| リスクに応じて直す |
本当にあった脆弱性を、組織のリスクの評価に従って、決めた期間のうちに直す |
| 共有する |
得た情報を関係する担当と共有し、ほかのシステムの同じ脆弱性を無くす |
| 道具を更新する |
スキャンする脆弱性の情報を、すぐに更新できる道具を使う |
RA-5 の解説は、スイッチやルータ、ネットワークにつながったプリンタや複合機なども、見落とさないよう挙げています。
日本で働くなら
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| 許可のないスキャンをしない |
自分が管理していないシステムを調べることは、不正アクセス禁止法などの法令に触れるおそれがある。スキャンするのは、自分が管理するシステムか、そのアクセス管理者の承諾を得たシステムに限る（筆者の整理。承諾が要る者はペネトレーションテストの「日本で働くなら」） |
| 診断を依頼する先を探す |
IPA（情報処理推進機構）は、経済産業省の「情報セキュリティサービス基準」に適合すると審査登録機関に認められたサービスを、「情報セキュリティサービス基準適合サービスリスト」として、脆弱性診断サービスなどの区分で公開している。IPA は、掲載は IPA がその事業者やサービスについて何かを請け合うものではないとしている |
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
