[編集長対談] あえて100点を目指さないプライド、NHN テコラスのセキュリティ脆弱性診断 5ページ目 | ScanNetSecurity
2025.02.28(金)

[編集長対談] あえて100点を目指さないプライド、NHN テコラスのセキュリティ脆弱性診断

NHN テコラスが調査を行った背景には、マーケティングとしての市場調査という意味もあるが、調査やその結果を通じて脆弱性診断の機能や役割を広く認知してもらい、国内企業のセキュリティレベルの底上げにつながればとの想いもあるという。

特集
PR
左から NHN テコラス株式会社 黄氏、同 梁氏、ScanNetSecurity編集人 上野、NHN テコラス 薮本氏
  • 左から NHN テコラス株式会社 黄氏、同 梁氏、ScanNetSecurity編集人 上野、NHN テコラス 薮本氏
  • Webアプリケーションのセキュリティ診断の年間実施回数と予算感(出典「Webアプリケーションのセキュリティ診断に関する利用実態調査」)
  • NHN テコラス株式会社 セキュリティ事業部 セキュリティセールスチーム セキュリティアーキテクト 薮本力将氏
  • NHN テコラス株式会社 セキュリティ事業部 セキュリティ分析チーム 梁玄氏
  • NHN テコラス株式会社 セキュリティ事業部 セキュリティ分析チーム マネージャー 黄盛垣氏
  • コンサルタント、診断、CSIRT、それぞれの立場から意見が出された
  • [取材中の一コマ] なんと梁氏は編集人上野の著書の韓国語版(写真)の翻訳を担当
  • [取材中の一コマ] 編集人上野の著書の韓国語版の著者略歴欄
●IoT、ブロックチェーンの脆弱性診断

上野:新しい動きといえば、例えばIoTやAIについてはどうでしょうか。これらの技術を脆弱性診断に取り入れたりする動きはあるのでしょうか。

梁:動きはあります。個人的にも研究しています。IoTではないですが、新しい取り組みとしてはブロックチェーンの診断も行っています。ブロックチェーンはデータがチェーンに保存されれば安全ですが、その前の段階のトランザクション処理に対してはやはり診断は必要です。

薮本:スマートホームのシステムに対して診断した経験はあります。脆弱性診断のメニューにIoT機器は今後入ってくるでしょう。

梁:AIは、サーバーのログ、アクセスログなどを分析してSQLインジェクションなどを検出する技術が考えられます。

上野:診断そのものをAIで自動化する考えはないのですか。

薮本:ツールなどを利用して自動化、効率化を図ることはありますが、いまのところ、基本は手動による診断です。SQLインジェクションやXSSに関する脆弱性は、ツールでかなり発見できるので、使い分けます。

梁:ツールと手動によるハイブリッド方式もありますが、機械は最終的な脆弱性の判断はできません。そこは人間がチェックしなければならないので、併用がお勧めですね。自動化とは関係ありませんが、SQLインジェクションのチェック、フォームにシングルクォートをひとつだけ入力したら、サイトが落ちたことがありました。なにが起きたのかしらべたところ、パスワードファイルが消えていました。プログラムの実装ミスだったのですが、診断によって隠れていたバグが見つかることもあります。

黄:トラフィックを監視していると、ツールが原因と思われるスキャンが増えるんですよね。サーバーによってはそれが負荷になることもあります。

《ScanNetSecurity》

関連記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 永世名誉編集長 りく)

×