脆弱性スキャンとは、システム、ネットワーク、およびアプリケーションを調査し、検出された設定やソフトウェアのバージョンを、National Vulnerability Database（NVD）やCommon Vulnerabilities and Exposures（CVE）のエントリなどの脆弱性データベースと照合することで、既知のセキュリティ上の弱点を探し出す自動化されたプロセスです。これは、組織の防御体制にどのような隙間があるかを明らかにする、体系的な発見の段階です。
スキャンを行うことの緊急性は、かつてないほど高まっています。ベライゾンの「2025年データ侵害調査報告書」によると、データ侵害全体の20%が脆弱性の悪用によるものであり、これは前年比34%の増加となっています。攻撃者の動きもますます速くなっています。VulnCheckの調査によると、脆弱性が悪用されるまでの期間の中央値は5日に短縮しており、CISAの「既知の悪用済み脆弱性（KEV）」カタログに登録されたエントリの28.96％は、CVEが公開された当日またはそれ以前に悪用されていました。公開から悪用までの期間が数ヶ月ではなく数時間で測定されるようになった今、継続的なスキャンは生き残るための必須要件となっています。
脆弱性スキャンは、脆弱性管理ライフサイクル全体の一部であり、そのライフサイクルには、脆弱性の発見、優先順位付け、是正措置、および検証が含まれます。効果的なセキュリティプログラムを構築するためには、スキャンがどの段階に位置し、どの段階には当てはまらないかを理解することが極めて重要です。
セキュリティチームは、スキャン、評価、侵入テスト、脆弱性管理といった用語をしばしば同じ意味で使用します。しかし、これらは同じものではありません。
脆弱性スキャンと、アセスメント、ペネトレーションテスト、脆弱性管理との違い。
スキャンは、自動化されたツールを使用して既知の脆弱性を特定します。アセスメントは、スキャンを、手動による確認や状況分析を含むより広範な評価に組み込んだものです。ペネトレーションテストは、実際に脆弱性を悪用して実環境におけるリスクを検証するという点で、さらに一歩踏み込んだものです。脆弱性管理とは、組織全体でこれらすべての活動を統括する継続的な取り組みのことです。
脆弱性スキャンプロセスは、7つの段階的なステップで構成されています。各ステップは前のステップを基盤としており、環境の変化に応じてこのサイクルが継続的に繰り返されます。
脆弱性スキャンプロセスは、検証のための再スキャンを含め、7つの段階的な手順に従って行われます。
スキャナーは対象システムにプローブを送信し、開いているポートやソフトウェアのバージョンに関する応答を収集した後、それらのフィンガープリントを既知の脆弱性シグネチャと照合します。脆弱性スキャンは自動化されていますか？はい。検出の主要なプロセスは自動化されていますが、検証、優先順位付け、および是正措置には、人間の判断と組織の状況を考慮する必要があります。
脆弱性スキャンでは何が検出されるのでしょうか？スキャナーは、適用されていないパッチ、設定ミスのあるサービス、デフォルトの認証情報、古いソフトウェア、安全でないプロトコル、および既知のアプリケーションの欠陥を特定します。ただし、シグネチャが存在しない脆弱性は検出できません。この重大な制限については、このガイドの後半で詳しく説明します。
長年にわたり、組織は修正の優先順位付けにおいて、共通脆弱性評価システム（CVSS）のみに依存してきました。深刻度スコアが9.0から10.0の脆弱性は、最優先で対処されてきました。しかし、このアプローチはますます不十分になりつつあります。
2026年1月に新しい「コンシューマー実装ガイド」とともに公開されたCVSS v4.0では、状況把握を容易にする「環境」および「脅威」の指標が追加されました。しかし、CVSSだけでは、最も重要な問いである「この脆弱性は、私の環境において実際に悪用されるのか？」という疑問には依然として答えられません。
そこで、補完的なスコアリングが重要になります。「エクスプロイト予測スコアリングシステム（EPSS）」は、脆弱性が30日以内に実環境で悪用される確率を推定します。到達可能性分析は、攻撃者がネットワーク経由で実際にその脆弱なコンポーネントに到達できるかどうかを判断します。業界の分析によると、2025年に発生した情報漏洩の84％は、「到達可能な」脆弱性を悪用したものであり、必ずしもCVSSスコアが最も高い脆弱性が悪用されたわけではありません。
この実態は、その緊急性を浮き彫りにしています。Verizonの「2025年DBIR」によると、脆弱性のあるデバイスのうち、1年以内に完全に修正されたのはわずか54%であり、パッチ適用までの日数の中央値は32日でした。リスクに基づく優先順位付けを行うことで、限られた修正リソースを、攻撃者が悪用する可能性が最も高い箇所に集中させることができます。
スキャナーは、3つの主要なデータソースと検出結果を照合します。NVDは主要な参照データベースとして機能し、CVE識別子をCVSSスコアや影響を受ける製品に紐付けます。CISAのKEVカタログ（2025年に20%拡大し、1,484件のエントリとなった）は、実環境で実際に悪用されていることが確認された脆弱性を特定します。ベンダー固有のアドバイザリ・フィードは、一般的なデータベースでは見落とされがちな製品レベルの詳細情報を補完します。
最新のスキャナーは、これら3つの情報源すべてを活用して、リスクの多層的な全体像を構築します。スキャナーが対象システム上のソフトウェアのバージョンを特定すると、そのバージョンをNVDのエントリと照合し、KEVカタログ内で一致するものを即座に対応が必要な項目としてフラグ付けし、パッチや回避策についてベンダーのアドバイザリを照会します。
組織は、環境、アクセス権限、対象に応じて、異なるスキャン手法を必要とします。これらを網羅する6つの主要なタイプがあります。
6つの脆弱性スキャン手法とその適切な活用シーン。
認証が必要なスキャンと不要なスキャンは、スキャンプログラムにおいて最も重要な判断事項の一つです。認証が必要なスキャンは、システム内部（インストールされているソフトウェア、レジストリ設定、ファイルのアクセス権、パッチ適用状況など）にアクセスできるため、はるかに多くの脆弱性を検出できます。一方、認証不要なスキャンは、攻撃者の視点からシステムを外部的に把握できるため、境界線の評価には有用ですが、内部の脆弱性を見逃してしまいます。
内部スキャンと外部スキャンは、それぞれ異なる脅威モデルに対応しています。内部スキャンはネットワークを内部から評価し、横方向の移動の機会や設定ミスを特定します。一方、外部スキャンは、外部からの攻撃者が行うのと同じ方法で、インターネットに公開されている資産を評価します。ほとんどのセキュリティフレームワークでは、この両方が求められます。
ベライゾンの「2025年DBIR」によると、2025年に発生したデータ侵害の43%はクラウドの脆弱性が原因であり、エッジデバイスを標的とした攻撃は22%を占めました。これは前年比で8倍の増加となります。こうした数字が、クラウドネイティブかつエージェントレスのスキャンが不可欠となっている理由を物語っています。
エージェント型スキャナーは、各ホストに軽量なソフトウェアをインストールすることで、より詳細な可視性とリアルタイムの監視を実現します。継続的な評価には優れていますが、すべてのシステムでの導入、更新、およびメンテナンスが必要となります。
エージェントレススキャナーは、APIやネットワークベースの手法を活用し、システムに何もインストールすることなく評価を行います。パフォーマンスに影響を与えることなくシステム全体を網羅的にスキャンでき、コンテナやサーバーレス関数が数分間しか存在しないようなクラウド環境や一時的なワークロードにおいて不可欠な存在です。
業界の共通認識としては、ハイブリッドなアプローチが支持されています。従来のオンプレミス環境では、エージェントベースのスキャンによる詳細な分析が有効です。一方、クラウドネイティブ環境では、一時的なワークロードの網羅性や、動的なインフラストラクチャ全体にわたる侵入検知・防止機能の観点から、エージェントレススキャンがますます重視されています。
脆弱性スキャンは、 MITRE ATT&CK フレームワークにおいて、脆弱性スキャンは独自の位置を占めています。それは戦場の双方に存在しているのです。
敵側では、 T1595.002 （アクティブスキャン：脆弱性スキャン） は 偵察 ～の下にある技術 0043攻撃者は、防御側が使用するのと同じスキャンツールを使って、標的となる環境内の悪用可能な脆弱性を探します。関連する手法 T1046 （ネットワークサービスのスキャン） 「ディスカバリー」の下（0007) では、攻撃者が初期アクセス権を取得した後、どのようにサービスを列挙していくかを解説しています。
守備面では、 M1016 （脆弱性スキャン） は、以下の手法に対処する公式の緩和策です T1190 (公開アプリケーションの脆弱性悪用) T1210 （リモートサービスの悪用）、および T1195 （サプライチェーンの侵害）。事前のスキャンを行うことで、攻撃者が悪用できる攻撃対象領域を縮小できます。
この二重の役割を意味するのは、防御側は、自らがスキャンを実行すると同時に、ネットワーク上で攻撃者によるスキャン活動を監視する必要があるということです。具体的には、攻撃者が環境を把握しようとしていることを示す、不審なポートスキャン、バージョン確認、あるいは列挙パターンなどが挙げられます。
コンプライアンスの最低基準とセキュリティのベストプラクティスとの間には、危険なほど大きな隔たりがある。
リスクベースの頻度マトリックスは、組織がスキャンリソースを効果的に配分するのに役立ちます。
四半期ごとのスキャンでは、45日から90日間の死角が生じます。悪用までの平均期間が5日である場合、四半期ごとのスキャンでは、次のスキャンが実行されるまでに数週間もの間、組織が危険にさらされたままになる可能性があります。
MOVEit Transfer (CVE-2023-34362)。ファイル転送アプリケーション「MOVEit」に存在するゼロデイSQLインジェクションの脆弱性が、公開前に悪用され、米国内の3,000以上の組織および世界中で8,000以上の組織が影響を受けました。この件から得られる教訓は、インターネットに公開されているアプリケーションには継続的なスキャンが必要であり、たとえスキャンを行っていたとしても、ゼロデイ攻撃に対しては補完的な検知手法が不可欠であるということです。
Log4Shell (CVE-2021-44228)。Log4jの脆弱性が明らかになった際、スキャナーが大規模に導入されました。140件のスキャン結果から28のプロジェクトを分析した調査によると、スキャナーの検出精度は91.4%に達しました。これは高い数値ですが、十分とは言えません。この精度の低さは、スキャナーでは検出できない推移的依存関係に起因していました。CISAの勧告では、完全なカバレッジを確保するために、複数のスキャン手法を併用することの重要性が強調されています。
Trivy サプライチェーン攻撃 （2026年3月）。オープンソースの脆弱性スキャナーが、多段階にわたるサプライチェーン攻撃によって侵害された。この事件から得られる教訓は、組織はスキャン結果だけでなく、スキャンツールの完全性も検証しなければならないということである。
React2Shell (CVE-2025-55182)。CVSS 10.0の評価を受けたこの脆弱性は、59万2,000以上のドメインに影響を及ぼしており、発見時点で17万2,000以上が攻撃可能と確認され、3万以上がすでにバックドアを仕込まれていました。攻撃の窓は数時間にまで短縮され、自動アラート機能を備えた継続的なスキャンがいかに不可欠であるかが改めて浮き彫りになりました。
効果的なスキャンプログラムを構築するには、適切なツールを選ぶだけでは不十分です。これらのベストプラクティスは、最も一般的な課題に対処するものです。
ベライゾンの「2025年DBIR」によると、脆弱性のあるデバイスのうち、1年以内に完全に修正されたのはわずか54%にとどまり、パッチ適用までの日数の中央値は32日であった。エッジデバイスが悪用インシデントの22%を占めており、これは前年比で8倍の増加であり、従来のサーバーやエンドポイント環境にとどまらず、スキャン対象を拡大する必要性が浮き彫りになった。
スキャナーの死角を正直に評価することで、危険な過信を防ぐことができる。
誤検知――実際には存在しない脆弱性を誤って検知してしまうスキャン結果――は、スキャンプログラムへの信頼を損なうだけでなく、アナリストの時間を無駄にする。
一般的な原因としては、署名の古さ、バージョン番号を変更せずにパッチをバックポートした際のバージョン文字列の不一致、およびスキャナのテスト環境と実際のシステム構成との間の環境の違いなどが挙げられます。
リスク低減策としては、精度を高めるために認証情報を使用したスキャンを実行すること、スキャナーのシグネチャを最新の状態に保つこと、コンテキスト分析を用いて検出結果を検証すること、そして複数のツール間で結果を照合することが挙げられます。認証情報を使用したスキャンは、外部のバージョン検出に依存するのではなく、実際のパッチ適用状況を検証できるため、特に効果的です。
主要な規制枠組みでは、特定の頻度での脆弱性スキャンが義務付けられています。このコンプライアンス対応表は、その概要を簡単に確認できるものです。
脆弱性スキャンに関するコンプライアンス・フレームワークの要件。
EUの組織は、NIS2の下でさらなる圧力に直面しています。NIS2の要件の70～80％はISO 27001のコントロールと対応しており、違反した場合には最大1,000万ユーロの罰金が科されます。PCI DSS v4.0は、支払いカードデータを処理するあらゆる組織に世界的に適用されます。複数の規制枠組みにまたがって事業を展開する組織は、最も厳格な要件（通常はCISコントロール7の週次から月次での実施サイクル）に準拠することで、すべての枠組みの要件を同時に満たすというメリットを得ることができます。
脆弱性スキャンの状況は急速に変化しています。現代のアプローチは、3つの変化によって特徴づけられます。
定期的なスキャンから継続的なスキャンへ。継続的な脆弱性スキャンは、四半期ごとや月ごとのスキャンサイクルを、常時稼働型の監視に置き換えます。脆弱性が悪用されるまでの時間が中央値で5日であることを考えると、スキャンの対象範囲に少しでも隙間があれば、それは攻撃者にとっての好機となります。継続的なスキャンは、継続的脅威露出管理（CTEM）フレームワークと連携しており、スキャン結果は、攻撃対象領域の評価やリスク低減というより広範なプログラムの一要素として活用されます。
CVSSのみに基づく優先順位付けから、多要素による優先順位付けへ。CVSS v4.0はスコアの精度を向上させましたが、現在、主要なプログラムでは、EPSS、到達可能性分析、脅威インテリジェンス・フィードを組み合わせて、特定の環境において悪用可能かつ到達可能な脆弱性に焦点を当てています。
定期的なスキャンからインフラストラクチャ・アズ・コードの分析まで。クラウドネイティブな環境には、APIベースのスキャン、コンテナイメージの分析、そしてデプロイ前に設定ミスを検知するインフラストラクチャ・アズ・コードのレビューといった、新たなアプローチが求められています。
Vectra AI、「侵害はすでに発生している」という単純な前提に基づいています。悪用される脆弱性の28.96%が、CVEの公開日当日またはそれ以前に武器化されている現状では、最高のスキャンプログラムでさえも検知の死角を抱えることになります。脆弱性スキャンは弱点を特定しますが、AIを活用した脅威検知は、それらの弱点が悪用された際に何が起こるかを特定します。つまり、初期アクセスに続く横方向の移動、権限昇格、データの集積といった動きを検知するのです。Attack Signal Intelligence 脆弱性スキャンに取って代わるAttack Signal Intelligence 。それは、スキャンでは検知できないもの、zero-day 、IDベースの攻撃、そしてシグネチャデータベースには含まれていない侵害後の行動を捕捉します。脆弱性スキャンとネットワーク検知・対応を組み合わせることで、完全な防御体制が構築されます。つまり、悪用される前に弱点を見つけ出し、悪用が成功した際には攻撃者の行動を検知するという体制です。
脆弱性スキャン分野は、3つの要因が相まって、今後12～24カ月の間に大きな変革を迎えることになる。
エクスプロイトの拡散が加速しています。「エクスプロイト化までの時間」が数週間から数日、さらには数時間にまで短縮される中、組織は自動対応機能と統合されたリアルタイムスキャン機能の導入を迫られるでしょう。React2Shellのエクスプロイトのタイムラインでは、大半の組織が最初のスキャンを完了する前に3万以上のドメインがバックドアを仕込まれており、これが今後の状況を予見しています。
AIは攻撃と防御の両面を変革しつつあります。攻撃者はAIを活用して、脆弱性をより迅速に特定し、悪用しています。防御側のスキャンツールでは、機械学習を取り入れることで検知精度の向上、誤検知の低減、そして次に悪用される可能性が最も高い脆弱性の予測が可能になっています。組織がCVSSのみに基づく優先順位付けから脱却するにつれ、EPSSの導入は今後も拡大していくでしょう。
規制の圧力は高まっています。EU全域でのNIS2の施行、PCI DSS v4.0の要件拡大、そして重要インフラをめぐる新たな枠組みの登場により、組織はより頻繁かつ包括的なスキャンプログラムの導入を迫られるでしょう。最低限のコンプライアンス要件を満たすだけのプログラムを構築してきた組織は、継続的なモニタリング体制へと移行する必要があります。
スキャンツール自体が標的となる。2026年のTrivyによるサプライチェーン侵害事件は、脆弱性スキャナーが攻撃者にとって極めて価値の高い標的であることを示した。セキュリティツールに関しては、スキャナーの完全性検証、署名付きアップデート、およびサプライチェーンのセキュリティに対する監視が強化されることが予想される。
こうした変化に備える組織は、次の3つの分野に投資すべきである。すなわち、スキャンサイクルの間のギャップを解消する継続的なスキャンインフラ、CVSS、EPSS、到達可能性、脅威インテリジェンスを組み合わせた多要素による優先順位付け、そしてスキャンでどうしても見落とされてしまうエクスプロイトを検知する振る舞い 機能振る舞い 。
脆弱性スキャンはもはや任意の措置ではなく、あらゆる組織が効果的に実施すべきセキュリティ対策の基盤となっています。侵害事例の20%が脆弱性の悪用によるものであり、悪用までの期間が5日へと短縮され、年間5万件もの新たなCVEが公開される中、スキャンを怠ることによるコストは四半期ごとに増大しています。
今後進むべき道は、コンプライアンスの最低要件を満たすだけでは不十分です。リスクベースのプログラムを構築し、継続的なスキャンを実施するとともに、EPSSや到達可能性分析と併せてCVSSを活用して優先順位を付け、クラウドワークロード、コンテナ、エッジデバイスを含む環境全体を網羅する必要があります。スキャンの網羅性を高めるために複数のスキャン手法を組み合わせ、スキャナーでは検出できない脅威を捕捉するために、振る舞い 組み込むことが重要です。
まずは資産の明確な棚卸しから始め、最も重要なシステムに対して継続的なスキャンを実施し、そこから体制を構築していきましょう。脆弱性の発見とアクティブな脅威の検知とのギャップを埋める準備が整っている組織は、Vectra AIAttack Signal Intelligence が、脆弱性データベースでは捕捉できない攻撃者の行動を検知することで、スキャンプログラムをいかに補完するかをご確認ください。
脆弱性スキャンとは、検出された設定情報を脆弱性データベースと照合することで、システム、ネットワーク、およびアプリケーションに既知のセキュリティ上の弱点がないかを調査する自動化されたプロセスです。NISTはこれを、コンピューティングインフラストラクチャにおける既知の脆弱性を体系的に特定するものと定義しています。スキャナーは対象システムにプローブを送信し、インストールされているソフトウェアや設定に関する情報を収集した後、その調査結果をNational Vulnerability Database（NVD）やCISAの「Known Exploited Vulnerabilities」カタログなどのデータベースと照合します。 このプロセスは自動化され、繰り返し実行可能であるため、大規模な企業環境全体で拡張性があります。脆弱性スキャンは、優先順位付け、修正、検証なども含む、より広範な脆弱性管理ライフサイクルの一要素です。現在、全セキュリティ侵害の20%が脆弱性の悪用によるものであることから、スキャンはあらゆるセキュリティプログラムにとって不可欠な要件となっています。
脆弱性スキャンは、7つのステップからなるプロセスに従って行われます。まず、スキャナーは対象範囲内のすべての資産（サーバー、エンドポイント、ネットワーク機器、クラウドワークロード）を検出します。次に、開いているポート、実行中のサービス、ソフトウェアのバージョンを特定することで、ターゲットを列挙します。3番目に、検出された構成情報をCVEデータベースやベンダーのアドバイザリと比較することで、脆弱性を検出します。 第四に、結果を相互に関連付け、ノイズを除去することで、検出結果を検証します。第五に、CVSS、EPSS、およびビジネスコンテキストを用いて、脆弱性のスコア付けと優先順位付けを行います。第六に、深刻度評価と是正措置のガイダンスを含む、実用的なレポートを生成します。最後に、組織は再スキャンを行い、是正措置によって特定された脆弱性が解決されたことを確認します。環境の変化、新たな脆弱性の公開、システムの更新に伴い、このサイクル全体が継続的に繰り返されます。
脆弱性スキャンは、システム構成と脆弱性データベースを照合する自動化ツールを通じて、既知の弱点を特定します。一方、ペネトレーションテストは、熟練したテスターによる模擬攻撃を通じて、特定の脆弱性が実際に悪用可能かどうかを検証します。 スキャンは広範囲にわたり、自動化され、繰り返し実行可能であり、数時間で環境全体を網羅します。一方、ペネトレーションテストは対象を絞り込み、手動で行われ、リソースを多く消費するもので、特定のシステムや攻撃経路に焦点を当てます。スキャンは「このシステムには既知の脆弱性がある」ことを示します。ペネトレーションテストは「攻撃者がこの脆弱性を悪用して、この特定の被害をもたらすことができる」ことを示します。ほとんどのセキュリティプログラムでは、継続的な監視のためのスキャンと、定期的な詳細な調査のためのペネトレーションテストの両方が必要です。
スキャン頻度は、資産の重要度やコンプライアンス要件によって異なります。PCI DSSでは、少なくとも四半期ごとの内部および外部スキャンが義務付けられています。CISコントロール7では、インターネットに公開されている資産に対して週1回のスキャンを推奨しています。セキュリティのベストプラクティスでは、重要システムの継続的なスキャンが求められています。脆弱性が悪用されるまでの時間が中央値で5日であることを考えると、四半期ごとのスキャンでは45日から90日間の「死角」が生じ、その間に攻撃者が脆弱性を発見し悪用する可能性があります。 リスクベースのアプローチが最も効果的です。具体的には、インターネットに接続された重要システムに対しては継続的な監視を、標準的な本番環境に対しては週次スキャンを、開発システムに対してはデプロイ後のスキャンを、そしてリスクの低い内部資産に対しては月次から四半期ごとのスキャンを実施します。
スキャナーには5つの重大な死角があります。シグネチャが存在しないため、zero-day 検出できません。アプリケーション固有のワークフローを理解する必要があるビジネスロジックの欠陥を特定することもできません。また、推移的依存関係に対する可視性は限られています。Log4Shellの事例が示すように、ネストされた依存関係を見逃したため、スキャナーの精度は91.4%にとどまりました。さらに、認証情報によるアクセス権限がなければ、コンテキスト依存の脆弱性を評価することもできません。 また、スキャナーはアクティブな攻撃を検知できません。スキャナーは脆弱性を発見することはできますが、攻撃者がその脆弱性を悪用していることを検知するには、振る舞い 機能が必要です。これらの限界を理解することで、危険な過信を防ぎ、組織が多層的な防御体制を構築するのに役立ちます。
はい。PCI DSS v4.0の要件11.3では、少なくとも四半期に1回の内部および外部の脆弱性スキャンが義務付けられています。外部スキャンは、PCIセキュリティ基準評議会（PCI Security Standards Council）によって認定された承認スキャンベンダー（ASV）によって実施されなければなりません。スキャンで特定されたすべてのハイリスクおよびクリティカルな脆弱性は、次回の四半期スキャンまでに解決されなければなりません。 PCI DSS以外にも、複数のフレームワークでスキャンが義務付けられています。NIST SP 800-53 RA-5では、定期的なスキャンおよびシステムに大幅な変更があった後のスキャンが求められています。CIS Controlsでは、週次から月次での自動スキャンを推奨しています。ISO 27001では、技術的脆弱性を管理するための文書化されたプロセスが求められています。
継続的な脆弱性スキャンは、四半期ごと、月次、週次といった定期的なスキャンサイクルに代わり、新たな脆弱性が公開または導入された直後に検出する常時監視を実現します。この変化の背景には、悪用される脆弱性の28.96%が、CVE公開日当日またはそれ以前に悪用されるという現実があります。 スキャン間のいかなる間隔も、リスクにさらされる期間となります。継続的スキャンは、継続的脅威露出管理（CTEM）フレームワークと統合され、スキャン結果をリスク評価および優先順位付けの包括的なプログラムに反映させます。これは、自動デプロイ、コンテナオーケストレーション、サーバーレスアーキテクチャを通じてインフラが絶えず変化するクラウド環境において、ますます不可欠なものとなっています。
