脆弱性診断の前に

OpenVAS脆弱性スキャン – Platinum Web Engineering (pgw.jp)に紹介したように、オープンソースの自動脆弱性診断ツールを利用することで、あまりコストをかけずに脆弱性診断をすることができる。

但し、脆弱性診断はサイバー攻撃に類似したアクセスをすることになるので、事前に以下の点に留意し、関連するシステムの技術担当者への了解を得て実施日時を調整するなどの準備が必要となる。

・デフォルトの診断条件で毎秒10回程度のアクセスが1時間程度継続する

・ログ・メッセージとアラート・メッセージが表示されることがある

・ファイアウォールおよび侵入検知および防止システムにアラートが表示され、また、侵入防御対策がトリガーされる場合がある

・ターゲットシステムやスキャンされたネットワークの性能が不十分な場合、サービス拒否 (DoS) 攻撃に似た状況に陥る可能性がある

・アプリケーションが脆弱な場合、障害やクラッシュを引き起こす可能性がある

いずれも実際にサイバー攻撃された場合に起こる事象なので、実際に攻撃を受ける前に予め知っておくことは、脆弱性対策の第一歩となる。