無料のWebサイト脆弱性スキャン：パッシブスキャンでわかること、わからないこと

要点：Ostorlabの無料Webサイトスキャンは、攻撃せずにサイトのTLS、セキュリティヘッダー、既知の脆弱性を持つコンポーネントを確認します。受動的なため、本番環境で実行できます。所有している、またはテストの許可を得ているURLを入力すると、レポートがメールで届きます。

パッシブスキャンで検出できるもの

• TLSの問題。 期限切れまたは弱い証明書、古いプロトコルバージョン、弱い暗号スイート。
• セキュリティヘッダーの欠如。 一般的なブラウザー攻撃を防ぐContent-Security-Policy、Strict-Transport-Security、X-Frame-Optionsなど。
• 既知の脆弱性を持つコンポーネント。 公開CVEがある古いJavaScriptライブラリ、CMSバージョン、サーバーソフトウェア。
• 露出した情報。 動作している技術を攻撃者に伝えるバージョンバナーやページ。

自動ツールが毎日インターネット全体をスキャンしているため、これらは攻撃者が最初に見つける問題です。

検出できないもの

パッシブスキャンはログインせず、フォームや攻撃ペイロードを送信しません。そのため、次の問題は検出できません。

• ユーザーAがユーザーBのデータを読めるアクセス制御の不備（安全でないオブジェクト直接参照（IDOR）、オブジェクトレベルの認可の不備（BOLA））
• 割引が二重適用されるようなビジネスロジックの欠陥
• フォーム送信やAPI呼び出しでのみ発生するインジェクションの欠陥

これらの問題は重大な侵害の多くを引き起こします。見つけるには、ログインした状態で能動的にテストする必要があります。OstorlabのWeb向けAgentic Deep Scanは、攻撃者と同じようにアプリを探索します。テストの設定によりSSOやMFAのログインに対応し、再現可能なエビデンスで各検出結果を実証します。動的テストの一般的な仕組みについては、DAST（動的解析）の仕組みをご覧ください。

無料スキャンとAgentic Deep Scanのどちらを選ぶか

能動的なテストの報告内容は、Webのサンプルレポートで確認できます。

自社サイトで試す：Webサイトを無料でスキャン。

よくある質問

無料のWebサイトスキャンは本番環境でも安全ですか？ はい。クロールとレスポンスの読み取りだけを行います。フォームやペイロードは送信しません。

Webサイトを所有している必要がありますか？ はい。サイトを所有しているか、テストする許可を得ている必要があります。フォームでその旨を確認します。

無料スキャンはAPIをテストしますか？ いいえ。APIテストはAgentic Deep Scanで提供します。

パッシブなWebサイトスキャンとアクティブなスキャンの違いは何ですか？ パッシブスキャンは、証明書、ヘッダー、コンポーネントのバージョンなど、サイトが公開する情報を読み取ります。アクティブスキャンはログインしてテストリクエストを送り、アクセス制御、ロジック、インジェクションの欠陥を見つけます。