読み方：ぜいじゃくせいスキャナ

脆弱性スキャナ【vulnerability scanner】

概要

脆弱性スキャナとは、コンピュータシステムやネットワーク機器、ソフトウェアなどに存在する保安上の弱点（脆弱性）を自動的に検出するツール。対象に通信を試み、オペレーティングシステム（OS）やアプリケーションの種類やバージョン、設定内容を調べ、攻撃者に悪用される危険性のある問題点を洗い出す。

検査の対象はサーバやネットワーク機器、Webアプリケーション、データベースなど情報システムを構成する様々な要素である。得られた情報を脆弱性データベースと照合し、未修正の欠陥や設定の不備が存在するかを判定する。データベースは定期的に更新されるため、スキャナ自体も最新の状態に保つ必要がある。

スキャン方式は大きく二種類に分かれる。外部ネットワークから調査する方式は攻撃者の視点に近い検査ができる。一方、対象機器にエージェントをインストールして内部から調べる方式はOSの設定やソフトウェアのバージョンまで詳細に確認でき、外部からでは分からない情報も利用できる。

Webアプリケーション向けの製品では、フォームやURLパラメータに不正な入力を送り込み、SQLインジェクションやクロスサイトスクリプティング（XSS）といった攻撃手法に対して脆弱な箇所を特定する機能も備える。検査結果には脆弱性の名称や危険度、対処方法が示され、担当者はその情報をもとにパッチ適用や設定変更の優先順位を判断する。

基本的に既知の弱点を探す仕組みであり、独自開発のプログラムや業務固有の設計上の問題、未知の脆弱性の検知は苦手である。また、通信条件によっては実際には問題がない項目を脆弱と判定することもあるため、結果を精査する作業が別途必要となる。検査の品質は熟練者による詳細な調査には及ばず、基本的な検査項目を低コストで素早く調べる補助的なツールとして位置づけられる。

企業などの組織では定期的な脆弱性診断の一環として利用されることが多く、Webサイト公開前の検査やクラウド移行後の設定確認などにも用いられる。クラウドサービスやリモートワークの普及・利用拡大に伴い、外部からアクセス可能なシステムを継続的に監視する手段として、その需要は広がっている。

(2026.5.22更新)