1. 導入
システム開発や運用現場において「セキュリティ対策は万全か？」と問われた際、多くの担当者が頭を抱えるのが脆弱性対策です。しかし、そもそも「脆弱性診断」と「脆弱性管理」がどう異なり、なぜ両方必要なのかを明確に説明できるでしょうか。これらを混同すると、対策の穴が生じ、攻撃者に付け入る隙を与えてしまいます。本記事では、この二つの役割の違いを整理し、実務でどのように組み合わせるべきかを解説します。
2. 基礎知識
まずは二つのアプローチの定義を整理します。
・脆弱性診断（Security Assessment）
攻撃者と同じ視点で、外部から疑似攻撃（スキャンや手動操作）を行い、システムに存在する「弱点」を洗い出す手法です。いわゆる「ブラックボックステスト」に分類され、設定不備や認証の回避など、動的な状態をチェックします。
・脆弱性管理（Vulnerability Management）
システム内部の構成要素（OS、ライブラリ、ミドルウェアのバージョン等）をインベントリ化し、既知の脆弱性情報と照合して管理するプロセスです。こちらは「ホワイトボックステスト」的なアプローチであり、ライブラリの更新漏れなどを網羅的に検知するのに適しています。
3. 実装/解決策
実務において最も効率的なのは「自動化された脆弱性管理」をベースラインとし、定期的に「脆弱性診断」を重ねる運用です。
ステップ1：脆弱性管理の自動化
利用しているライブラリのリスト（SBOM）を作成し、CI/CDパイプラインや専用ツールで常に最新の脆弱性情報を監視します。
ステップ2：脆弱性診断の計画的実施
Webアプリのリリース前や、大規模な構成変更のタイミングで、手動診断を含む専門的な診断を行います。これにより、ツールでは見抜けない「ビジネスロジックの不備」を補完します。
4. サンプルプログラム
以下は、脆弱性管理の一環として、Pythonを用いて「インストールされているライブラリのバージョンが、既知の脆弱性データベース（NVD等）の対象になっていないか」を簡易的に確認するための概念コードです。
import subprocess
import json
実行中のシステムにインストールされているパッケージリストを取得
def get_installed_packages():
# pip list –format=json で現在のパッケージ情報を取得
result = subprocess.run([‘pip’, ‘list’, ‘–format=json’], capture_output=True, text=True)
return json.loads(result.stdout)
脆弱なパッケージリスト（例としてハードコード）
vulnerable_db = {
“requests”: “2.25.0”, # 特定のバージョンに脆弱性があると仮定
“flask”: “1.1.0”
}
def check_vulnerabilities():
packages = get_installed_packages()
print(“— 脆弱性チェックを開始 —“)
for pkg in packages:
name = pkg[‘name’]
version = pkg[‘version’]
# 脆弱性DBと照合
if name in vulnerable_db and version == vulnerable_db[name]:
print(f”警告: {name} ({version}) に脆弱性が存在します。アップデートを検討してください。”)
else:
print(f”OK: {name} ({version})”)
if __name__ == “__main__”:
# 実務ではこの部分をAPI連携やセキュリティスキャンツールに置き換えます
check_vulnerabilities()
5. 応用・注意点
現場で陥りやすい失敗は、「診断結果だけで満足してしまうこと」です。
脆弱性診断は「その時点でのスナップショット」に過ぎません。診断が終わった翌日に新しい脆弱性が公開される可能性もあります。
・情報の鮮度を保つ： 脆弱性管理ツールで継続的に監視し、診断で見つからなかった「未知のライブラリの脆弱性」をカバーしてください。
・優先順位付け： 診断結果と管理ツールから上がってきた膨大なリストを並べ、CVSS（共通脆弱性評価システム）スコアや、自社システムへの影響度を元に「すぐ直すべきもの」を特定するプロセスが不可欠です。
脆弱性診断と脆弱性管理は、どちらか一方ではなく、車の両輪として機能させることで初めて堅牢なセキュリティ体制が構築できます。
コメント