【ぜいじゃくせいすきゃん】
脆弱性スキャン とは？
💡 システムの「セキュリティ健康診断」
📌 このページのポイント
- ネットワークスキャン、Webアプリスキャン、コンテナスキャンなどの種類
- Nessus、OWASP ZAP、Trivy が代表的ツール
- CI/CDパイプラインに組み込んで継続的にスキャン
- 脆弱性の深刻度（CVSS）に基づいて優先順位を決めて対応
ひよこ 何をスキャンするの？
ペンギン先生 ひよこ おすすめのツールは？
ペンギン先生 ひよこ CI/CDに組み込むには？
ペンギン先生 GitHub Actionsで「npm audit」「trivy image myapp:latest」をCIステップに追加するだけ。Critical/Highの脆弱性が見つかったらパイプラインを失敗させる設定にすれば、脆弱なコードが本番にデプロイされるのを防げるよ。DependabotやRenovateで依存パッケージの自動更新PRも活用しようね
ひよこ ペネトレーションテストとの違いは？
ペンギン先生 脆弱性スキャンは自動ツールで既知の脆弱性パターンをチェック。ペネトレーションテスト（ペンテスト）は専門家が手動で攻撃を試みて、ビジネスロジックの欠陥やチェーン攻撃を発見する。スキャンは「定期的・自動的」に、ペンテストは「年1〜2回・専門家が」行うのが一般的だね
📖 おまけ：英語の意味
「Vulnerability Scanning」 ＝ 脆弱性スキャン
💬 Vulnerability（脆弱性）をScanning（走査して検出）する作業だよ