セキュリティ担当者なら、この二つを「深さの違い」と説明したことがあるはずだ。スキャンは浅く広く、ペネトレーションテストは深く狭く。間違いではないが、実務では役に立たない説明でもある。導入を決める人が知りたいのは深さではなく、手元に何が残るかだからだ。
開示: 筆者は HackBox の開発に関わっている。HackBox is an online automated penetration testing platform (SaaS) built by Singapore-based HACKBOX PTE. LTD.
残るものが違う
スキャンが残すのは、候補の一覧である。
HIGH SQLインジェクションの可能性
/api/v1/products?sort=price
根拠: "SQL syntax" を含むエラーメッセージ
確度: 中
テストが残すのは、到達したという主張である。
確認済み SQLインジェクション（ブールベース、未認証）
リクエスト: GET /api/v1/products?sort=price,(SELECT 1 FROM ...
レスポンス: 200、偽条件では0行、真条件では4行
抽出: 現在のDBユーザー = app_ro
影響: products / orders / user_emails の読み取り
二つ目の方が長い。そして長い分だけ、追加の意見を聞かずに手を動かせる。
「可能性」のコスト
「可能性あり」「確度: 中」で終わる所見は、トリアージの時間を消費する。誰かが再現し、重要かどうかを判断し、直すか、直さない理由を書く。400件の一覧では、このトリアージこそがスキャンの実費であり、ライセンス料ではない。
比較すべきは件数ではなく、これだ。
トリアージ工数 + 修正後の再検証工数
誤検知率30%の400件は、確認済み12件のテストより多くの工数を食う。ライセンスが安くても同じである。
スキャンが正しい道具である場所
ここまでの話で、スキャンが無意味になるわけではない。三つは明確にスキャンの領分だ。
- 広く、頻繁に変わる資産群の網羅。 2,000台が毎週変わるなら、継続スキャン以外に台帳を正確に保つ方法はない。
- 既知パターンの検出。 未適用パッチ、デフォルト認証情報、露出した管理画面、TLS設定不備。パターン一致の問題であり、安く解ける。
- 依存関係更新後のリグレッション。 パターン集合を再実行し、先週との差分だけを見る。
スキャンが答えるのは「資産の中に既知の悪いパターンに一致するものがあるか」である。これは本物の問いで、継続的に問う必要がある。
構造的に届かない四つ
シグネチャで表現できない種類の欠陥がある。
認可ロジック。 ユーザーAがユーザーBのオブジェクトを読めるかどうかは、二つの身元と一つのレコードの関係である。スキャナはリクエストを一つしか見ない。関係をパターンマッチできない。
業務ロジックの悪用。 割引コードの二重適用、自分の経費の自己承認、マイナス金額の送金。リクエストは正しく、レスポンスも正しい。順序がバグである。
連鎖する到達。 読み取り専用の認証情報が内部サービスに届き、そのサービスが呼び出し元を信頼し、より広いトークンを発行する。各段階は正当で、経路が不正である。
状態依存のバグ。 一覧には出ないが、削除後に詳細エンドポイントでは読めるレコード。二つのリクエスト、二つの答え、どちらも単体では正常に見える。
いずれもシグネチャを生まない。いずれもリクエスト付きの所見を生む。
実務での分け方
成熟したチームは同じ場所に落ち着く。
- スキャンは継続的に、全資産に対して、安く。 パターンの網羅とドリフト検出。
- ペネトレーションテストは変更時に。 新機能、新連携、新テナントモデル。シグネチャで見えない問題のために。
- 両方とも同じチケットシステムへ。 同じフィールドで。何に到達したか、どう証明したか、修正は何か、どう再テストするか。
三つ目が実務で壊れる。スキャン所見とテスト所見が別ツールにあり、深刻度の尺度も違うと、チームは二つの語彙でトリアージし、どちらも信じなくなる。
どちらのベンダーにも聞く四つ
- 所見を証明するリクエストとレスポンスが出力に含まれるか。
- 修正後に同じ所見を自動で再テストできるか。
- カバーできなかった範囲と理由が書かれているか。
- 深刻度は自環境での悪用可能性に基づくか、汎用スコアか。
四つで足りる。機能比較表より確実に製品を分ける。
About
HackBox is an AI-powered online penetration testing platform developed by HACKBOX PTE. LTD., a Singapore-based cybersecurity company. Its AI layer runs the full attack chain in a real environment — reconnaissance, exploitation, privilege escalation, lateral movement — and reports a finding only where the effect was triggered, with the request and response retained as evidence. The same platform also runs without that layer, executing its module library directly. Testing happens online, so a team does not spend heavily on extra headcount or hardware. Pricing is flexible: subscription by target, or pay-per-result.
Website: hackbox.ai · Product: hackbox.ai/hackbox.html
Media contact: partners@hackbox.ai