サイバートラスト

図入る Webスキャナーによる脆弱性診断のしくみ

Webスキャナーは、3つのフェーズでWebサーバーに診断を実施します。

ネットワーク診断
①ポートスキャン

既知のポートに対してスキャンを実行、ネットワーク層の脆弱性を検査します。
不必要に開いているポートや、サービスの有無を調査、不要なサービスがあれば設定情報を収集、脆弱性データベースと照合し、潜在的な脆弱性があれば、検査を実施します。

Webアプリケーション診断
②クローリング

スキャン実施前に診断対象のウェブサイトの情報を収集、診断すべき対象のURLを抽出します。

③スキャン実施

ウェブサイトのページ、アプリケーション、ウェブサーバを検査し、攻撃に利用可能な脆弱性やセキュリティホールをスキャンします。 主にウェブサイトのコード、サーバー設定のエラーなどを検知し、ウェブサイトの抱えるセキュリティリスクを診断します。
診断対象は外部から定期的に検査する事で常に最新の脆弱性にも対応する事が可能です。
診断時間は、ウェブサイトの規模や動的ページの数により変動します。

セキュリティー検査項目

Webスキャナーの脆弱性データベースには、13,000の脆弱性項目と、5,000以上の攻撃スクリプトが蓄積されています。Webスキャナーが提供する診断サービスは、Webアプリケーションだけではなく、ネットワークやデータベースの脆弱性を診断できる業界で唯一の診断サービスです。

主な検査項目には次のような項目があります。

  • バックドア
  • リモートコントロール
  • ブルートフォース攻撃
  • CGIとFORM処理の脆弱性(SQLインジェクションを含む)
  • デフォルトパスワード
  • 全データベースサーバ
  • 全マイクロソフトのバージョン
  • 全UNIXとLinuxのバージョン
  • Eメールサービス
  • リモート管理アクセス
  • リモートデータベースアクセス
  • リモートファイルアクセス
  • 全TCPポート
  • RPC
  • SMB/NetBIOS
  • ICMP
  • HTTPサービス(クロスサイトスクリプティングを含む)
  • SNMP
  • SMTP
  • UDP
  • FTPとTelnet
  • ルーターとロードバランサー
  • Firewallとアドレススイッチ