定期診断は、何をどう検査しているのか？
サイトドックが毎月実施する定期診断は、複数の実績ある検査エンジンを組み合わせた能動診断です。このページでは、「何を使って」「どこまでやって」「どこからやらないのか」を、裏側まで正直に解説します。
出典・運営：本ページは、サイトドック（SiteDock）の公式技術解説です。サイトドック（SiteDock）は、日本情報基盤サービス株式会社（JIISセキュリティラボ）が運営する、9つの守りを統合したWebサイト向けの統合型セキュリティサービスです。
監修：JIISセキュリティラボ 監修者情報を見る
なぜ「能動診断」なのか？
外形の確認だけでは分からない弱点があるためです。診断には、対象サイトへ実際にアクセスするかどうかで2つの方式があります。
パッシブ診断（外形の確認）
DNSや証明書、応答ヘッダなど、外から見える公開情報のみを確認します。サイトに負荷はかかりませんが、公開情報から見える範囲に限られます。
能動診断（定期診断で実施）
所有者確認のうえ実施します。対象サイトへ実際にアクセスして検査するため、一定の負荷がかかります。そのぶん、公開情報だけでは分からない弱点まで踏み込んで確認できます。サイトドックの月次の定期診断は、こちらの能動診断です。
能動診断といっても、非破壊寄りの設定で実施し、攻撃的な書き込みは行いません。それでも一定のアクセスは発生するため、負荷がかかること自体は正直にお伝えしたうえで実施しています。
どんな検査エンジンを使っているのか？
独自ツール1本に頼るのではなく、世界中で実績のあるオープンソースの検査エンジンを役割分担で組み合わせています。
nmap｜ポートと公開サービスの確認
インターネットに向けて開いているポートと、そこで動いている公開サービスを確認します。「開けたつもりのないドア」を見つける役割です。
nuclei｜既知の脆弱性パターンの照合
世界中で共有されている既知の脆弱性パターンを、対象サイトに対して網羅的にチェックします。
OWASP ZAP｜Webアプリケーションの受動解析
ページをたどるスパイダーと、応答を解析するパッシブ解析でWebアプリケーションを検査します。攻撃リクエストを送るアクティブスキャンは行いません。
Nikto｜Webサーバーの既知の問題・設定不備
Webサーバー本体の既知の問題や、設定の不備を確認します。
WordPress脆弱性DB照合
WordPressと判定されたサイトのみ、本体・プラグインのバージョンを既知の脆弱性データベースと照合します。WordPress以外のサイトでは実行しません。
なぜ、所有者確認が必要なのか？
能動診断は対象サイトへ実際にアクセスするため、第三者のサイトを勝手に診断できてはいけないからです。サイトドックでは、定期診断の開始前に、次の2方式のいずれかで「あなたがそのサイトの管理者であること」を確認します。
- metaタグ方式：発行された確認用の
<meta>タグを、対象サイトのトップページに設置していただきます。 - DNSレコード方式：発行された確認用の文字列を、ドメインのDNSレコード（TXT）に追加していただきます。
どちらも「そのサイト・そのドメインを管理できる人にしかできない操作」です。確認が取れたサイトに限って、定期診断を実施します。ご契約期間中は、この確認を維持していただきます。
誤検出を減らすために、何をしているのか？
方針はひとつ、「確認できないものを、弱点として数えない」ことです。
検査ツールは、疑わしいものを幅広く拾う性質があります。拾った結果をそのまま並べると、実際には問題のない項目までレポートに載り、本当に治すべき弱点が埋もれてしまいます。
そこでサイトドックでは、判定がつかない項目は「弱点」として所見にしない方針をとっています。たとえばセキュリティヘッダのような項目は、検査エンジンの報告を鵜呑みにせず、確定的な再取得でもう一度サイトの応答を確認して裏取りしてから判定します。メールを受け取らないドメインにメール関連の指摘を出さない、といった前提条件のチェックも同じ考え方です。
「多く見つけること」より「治すべきものを正しく伝えること」。レポートの数字を膨らませない誠実設計を、定期診断の土台にしています。
よくある質問
定期診断はサイトに負荷をかけますか？
定期診断はどのくらいの頻度で実施されますか？
他人のサイトを診断できますか？
このページの要点
- 月次の定期診断は、所有者確認のうえ実施する能動診断。対象サイトへ実際にアクセスするため一定の負荷がかかるが、非破壊寄りの設定で攻撃的な書き込みは行わない。
- nmap・nuclei・OWASP ZAP・Niktoに加え、WordPressと判定されたサイトのみ脆弱性DB照合を実施する。
- 所有者確認はmetaタグまたはDNSレコードの2方式。第三者のサイトは診断できない。
- 「確認できないものを弱点として数えない」方針で、ヘッダ系は確定的な再取得で裏取りしてから判定する。
- 結果と実施した対策は、毎月の証跡レポート（PDF）でお届けする。
この検査を、毎月まわし続ける
ここで解説した定期診断は、サイトドックの9つの守りのひとつです。見つかった弱点のうちエッジで治せるものはその場で自動修復し、実施した対策は毎月のレポート（PDF）でお届けします。
資料をダウンロード