セキュリティ

SECURITY

公開：2024-08-22

Flatt SecurityがShisho Cloud byGMOに自動Web脆弱性診断機能を追加、総合的な脆弱性対策が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Flatt SecurityがShisho Cloud byGMOを発表
• 自動Web脆弱性診断（DAST）機能を追加
• クラウド診断と組み合わせて総合的な脆弱性対策が可能に

Shisho Cloud byGMOの新機能と脆弱性診断の進化

株式会社Flatt Securityは2024年8月19日、国産脆弱性診断ツール「Shisho Cloud byGMO」に自動Web脆弱性診断（DAST）機能を追加し、提供を開始した。この機能は、外部から自動的に模擬攻撃を実施することでWebアプリケーションの脆弱性を検出するもので、既存の自動クラウド診断（CSPM）機能と組み合わせることで、日本初の「Web&クラウド」まるごと脆弱性診断ツールとして利用できるようになった。^[1]

新機能の追加により、Webアプリケーションとクラウドインフラの両方を包括的に診断することが可能となり、総合的なリスク評価がより容易になった。従来は別々に実施する必要があったWeb脆弱性診断とクラウド設定診断を一つのツールで行えるようになり、診断結果の統合や解釈にかかる工数を大幅に削減できる。

Shisho Cloud byGMOの自動Web脆弱性診断（DAST）機能は、月額2万円台から利用可能で、診断対象Webアプリケーションが動作している環境に対する自動クラウド診断（CSPM）機能は無料で提供される。これにより、企業は定期的な脆弱性診断をより低コストで実施できるようになり、セキュリティリスクの継続的な管理が容易になった。

Shisho Cloud byGMOの新機能まとめ

Shisho Cloud byGMOの詳細はこちら

DASTについて

DASTとは、Dynamic Application Security Testingの略称で、外部からアプリケーションの挙動を動的に検査することで脆弱性の有無を検査する手法、およびそのように検査を行うソリューションのことを指す。主な特徴として以下のような点が挙げられる。

• 実際の攻撃シナリオを模した検査が可能
• 運用環境での脆弱性検出に適している
• アプリケーションのソースコードにアクセスせずに検査可能

Shisho Cloud byGMOのDASTは、Webアプリケーションに対して自動的に模擬攻撃を実施し、脆弱性を検出する。この機能により、内製開発やパブリッククラウド活用により速いサイクルで変化するプロダクトの診断に最適なツールとなっている。従来のCSPM機能と組み合わせることで、Webアプリケーションとクラウドインフラストラクチャの両方を包括的に診断することが可能になった。

Shisho Cloud byGMOの新機能に関する考察

Shisho Cloud byGMOの自動Web脆弱性診断（DAST）機能の追加は、セキュリティ診断の効率化と低コスト化を実現する点で評価できる。特に、クラウド診断（CSPM）機能と組み合わせることで、Webアプリケーションとクラウドインフラの両方を一元的に診断できるようになったことは、企業のセキュリティ管理を大幅に簡素化する可能性がある。ただし、自動診断だけでは検出できない複雑な脆弱性もあるため、手動診断との適切な組み合わせが重要になるだろう。

今後の課題としては、false positiveの削減や、より高度な攻撃パターンへの対応が挙げられる。自動診断の精度向上は常に求められる課題であり、機械学習やAI技術の活用によってさらなる改善が期待される。また、クラウドネイティブな環境やコンテナ技術への対応など、変化の激しいIT環境に合わせた機能拡張も必要になってくるだろう。

将来的には、CI/CDパイプラインとの統合やリアルタイム診断機能の追加など、より開発プロセスに密接に組み込まれたセキュリティ診断ツールへの進化が期待される。また、業界標準や法規制への準拠状況を自動的にチェックする機能や、検出された脆弱性に対する具体的な修正提案を行うAI支援機能なども、ユーザーにとって有用な追加機能となるだろう。

参考サイト

1. ^ PR TIMES. 「国産脆弱性診断ツール「Shisho Cloud byGMO」、自動Web脆弱性診断（DAST）機能を提供開始。 | 株式会社Flatt Securityのプレスリリース」. https://prtimes.jp/main/html/rd/p/000000046.000027502.html, (参照 24-08-22).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧