無料の脆弱性診断ツールでどこまでわかる？使う前の許可と注意点を解説

無料の脆弱性診断ツールでわかるのは、ツールの種類ごとに決まった範囲の、自動で見つけられる弱点の一部です。自社のサイトであっても、サーバーや保守の管理者の許可を確かめてから使います。

今日は、ツールを入れる前に、調べたいサイトと機器を書き出してください。それぞれの横に、社内の責任者と、サーバーや保守の管理会社の名前を書きます。埋まらない欄があれば、そこがまだ試してはいけない対象です。

全体の位置づけはセキュリティ診断のカテゴリ⁠にまとめています。

無料のツールは、種類ごとに何を調べる？

一口に無料の診断ツールと言っても、調べる場所が違います。名前で選ぶ前に、調べたい場所を決めます。

各ツールの説明は、次の公式資料で確かめられます。

• ZAPは、Webアプリを調べるオープンソースのツールです
• Vulsは、IPAが2019年⁠の資料で検証した、Linux/FreeBSD系のサーバーに入っているソフトの弱点を調べるツールです
• iLogScannerは、IPAが公開している、アクセスログから攻撃と思われる痕跡を探すツールです。SSHやFTPのログも対象にできます
• OPENVAS FREEは、Greenbone社の無料版です。同社は有料版も用意しています

使えるかどうかは、開発元の配布状況と動作条件で変わります。入れる前に公式ページで確かめます。

1つ⁠で全部は調べられない

Webアプリのツールでサーバーの中のソフトを細かく調べることはできず、ログのツールは弱点そのものを探しません。IPAの資料がVulsで検証した環境も、Linux/FreeBSD系です。どのツールも調べる場所が違うので、「無料で診断した」⁠と言うときは、どのツールでどこを調べたのかまで残します。

結果はどこまで信じてよい？

見つかった結果も、見つからなかった結果も、そのままでは結論になりません。

ZAPの公式ガイドは、自動の調査の限界を自ら挙げています。ログインで守られたページは認証の設定をしないと調べられないこと、フォームには基本的な値しか入れないため、手で画面をたどる作業と組み合わせるべきことなどです。設定や操作が足りなければ、調べていない画面が残ります。

見逃しと誤検知は、ツールの種類を問いません。IPAの制御システムのセキュリティリスク分析ガイド第2版（2026年4月）⁠は⁠、検査の注意点として、弱点がない箇所を弱点と判定する誤検知と、弱点を見逃す検知漏れを挙げ、精査には経験のある技術者が必要としています。

外部の診断ですら、見つからないことは安全の証明になりません。IPAのウェブ健康診断仕様（2012年）⁠は⁠、検査パターンを絞った診断なので、検出されなくても安全宣言にはならないと明記しています。検出された場合でも、実際には弱点ではない可能性があるとしています。

ツールの画面に「高」⁠と出たものを慌てて直す前に、本当に自社の環境に当てはまるのかを確かめる人が要ります。その人を社内で用意できるかどうかが、無料のツールで進めるかを決める分かれ目です。

使う前に、誰の許可を取る？

許可を確かめる相手は3方向あります。多くの場合、社内の承認だけでは足りません。

根拠は3つあります。

ZAPの公式ガイドは、能動スキャンを本物の攻撃と位置づけ、許可のある対象にだけ使うよう書いています。サイトの機能やデータを実際に傷つける場合があるためです。

Nmapの公式書籍は、スキャンの前に対象の代表者から書面で許可を得るのが最善だとしています。自社を調べる場合も、その作業が職務の範囲にあることをはっきりさせるよう求めています。担当者を守るための手順でもあります。

IPAのウェブ健康診断仕様は、診断でサイトが止まる場合、インフラを共有する別のサイトにも影響が及ぶ可能性があるとし、サーバーなどのインフラ管理者の許可を必ず事前に得るよう求めています。共用のレンタルサーバーは、ここに当たります。

クラウドは会社ごとに決まりが違います。たとえばAWSのペネトレーションテストの規定では、決められたサービスは事前の承認なしにテストできる一方、DoSのような行為は禁じています。ほかのクラウドやレンタルサーバーについても、契約先の規約を読み、書いていなければ問い合わせます。

自社の物かどうかは、どう確かめる？

自社の名前で動いていても、管理者が自社とは限りません。

たとえば、部品メーカーが取引先向けの図面共有サイトを持っている場合で考えます。サイトの名前は自社でも、サーバーは保守会社の契約、ログイン画面は外部のサービス、問い合わせフォームは別の会社のもの、という形は珍しくありません。この場合、ツールを向ける前に確かめる相手は3社⁠に増えます。

確かめる項目は次のとおりです。

• サイトのドメインとサーバーの契約者
• 問い合わせフォームや決済など、外部のサービスにつながる画面
• 調べるIPアドレスの持ち主

NIST SP 800-115（米国の2008年の指針）⁠も⁠、テスト対象として渡されたIPアドレスがその組織の管理下にあるかを、始める前に確かめるよう書いています。古いドメインや、昔の委託先が立てたサーバーが残っている会社では、ここで見つかることがあります。

入口の洗い出しそのものを進めたいなら、ASMの製品比較で、外から見える資産を見つける道具の違いを確かめられます。経済産業省のガイダンスは、ASMが未把握の資産も対象にする一方で、示す弱点は可能性にとどまると説明しています。

本番で試す前に、何を決める？

許可が取れたら、止まったときの動きまで決めてから始めます。

• 調べる対象のURLと、調べない画面
• 日時。業務への影響が小さい時間帯にする
• 止まったときに連絡する相手と、戻す手順
• データが登録されたときの消し方

IPAのウェブ健康診断仕様は、診断でサイトが止まったり、意図しないデータが登録されたりする可能性があると書いています。問い合わせフォームなら、診断の通信がメール通知になって担当者に届くことも想定し、先に伝えておきます。

試せる環境があるなら、本番の写しから始めます。ZAPのガイドは、不安があればセーフモードに切り替えられると案内しています。そのぶん機能は大きく減るので、結果の見落としは増えると考えます。

工場の設備はこの話に含めません。IPAのガイドは、本番での検査で制御システムに障害が起きる場合があるとして、バックアップと復旧手順のテストを済ませておくことや、稼働前や定期修理の期間に検討することを挙げています。担当者がツールを試す範囲からは外します。

無料のツールで足りないのは、どんなとき？

次のどれかに当てはまるなら、無料のツールは補助にとどめ、外部の診断を比べる段階です。

• 個人情報、取引先の図面、決済の情報を預かっている
• ログインの後に、人によって見える情報が変わる画面がある
• 結果を読んで、本物かどうかを判断する人が社内にいない
• 取引先や制度から、第三者の診断結果を求められている

最後の例がSCS評価制度です。★4の技術検証ガイド（2026年10月）⁠は⁠、外から届く機器の脆弱性診断を、指定を受けた技術検証事業者が行う形を定めています。自分で無料のツールを回した結果は、この代わりにはなりません。

サービスとツールの候補は、脆弱性診断サービスとツールの比較で確かめられます。外部に頼む範囲の切り分けは自社でやる範囲と外部に頼む範囲の分け方に、公開サイトの種類ごとの判断は会社案内と問い合わせフォームのサイトで診断が要るか⁠に書きました。

結果が出たら、何を残す？

一度きりで終わらせないために、3つだけ残します。調べた対象とツールの版、見つかった項目と判断、直した日です。

継続して追いかける対象が増えてきたら、表計算では追えなくなります。脆弱性管理ツールの製品比較は、そうなったときの選択肢です。

無料のツールの価値は、費用がかからないことより、自社の入口と管理者を確かめるきっかけになることにあります。許可を取る段階で「このサーバーは誰が見ているのか⁠」⁠が分からなければ、それがツールの結果より先に片づける問題です。