脆弱性評価とは何ですか?

脆弱性評価の必要性

すべての企業は IT 環境に脆弱性を抱えています。 企業はさまざまなソフトウェアソリューションを使用しており、これらのプログラムには、攻撃者によって悪用される可能性のあるバグが含まれている可能性があります。 組織が新しいシステムを追加したり、ソフトウェアを更新したりするたびに、新しい脆弱性がシステムに持ち込まれる可能性があります。

脆弱性評価により、攻撃者が発見する前に組織にこれらの脆弱性を発見する機会が与えられます。 定期的な評価を実行し、その結果に基づいて行動することで、組織は、攻撃者が悪用する可能性が最も高いセキュリティギャップ、またはビジネスに最大の脅威をもたらすセキュリティギャップを閉じて、サイバー脅威への露出を大幅に減らすことができます。

脆弱性評価の種類

脆弱性評価とは、コンピュータ システムの脆弱性を探索する手法の総称です。 組織には多様なソリューションが存在する可能性があるため、さまざまな分野に焦点を当てたいくつかの異なるタイプの脆弱性評価が存在します。

• ホスト評価:ホスト評価では、重要なシステムに焦点を当てて企業のエンドポイントの脆弱性を探します。
• ネットワーク評価: ネットワーク評価では、企業ネットワークおよびそれに接続されているシステムへの不正アクセスを防止するために、企業ネットワークに安全なポリシーとセキュリティ制御が導入されていることを確認します。
• データベース評価: データベース評価では、企業のデータベースを検査して、セキュリティの設定ミス、未承認のデータベース、誤分類されたデータ、および同様の データセキュリティ の脅威を検出します。
• アプリケーション評価: アプリケーション評価では、 SQL インジェクション、バッファ オーバーフロー、その他の一般的な脅威など、悪用される可能性のある脆弱性について、組織の Web アプリケーションやその他のソフトウェアをテストします。

脆弱性評価と侵入テスト

脆弱性評価と侵入テストはどちらも、組織のシステムの脆弱性を特定するように設計されています。 ただし、それらは非常に異なる方法で機能します。 主な違いには、次のようなものがあります。

• 自動化と人間主導:脆弱性評価では通常、自動化ツールを使用して脆弱性を検索します。 ペネトレーションテストは、人間が主導する演習です。
• 広範囲対詳細:脆弱性スキャンでは、通常、オペレーティング システム、アプリケーションなどのすべての脆弱性を特定しようとします。 ペネトレーションテスターは特定の目標を達成しようとしてさらに深く掘り下げるため、一部の脆弱性を見逃す可能性があります。
• 脆弱性の悪用:脆弱性の評価には通常、誤検知が発生する可能性がある、発見された脆弱性の悪用は含まれません。 ペネトレーションテスターは、組織のシステムを調査し、特定の目的を達成しようとする際に発見した脆弱性を悪用する可能性があります。

結局のところ、脆弱性評価と侵入テストは補完的なツールであり、侵入テスターは多くの場合、脆弱性スキャンから評価を開始します。