スキャンタイプの比較
Ostorlabは、セキュリティ評価の目的、対象アセット、開発ライフサイクルの各段階に合わせた専用のスキャンタイプを提供しています。このガイドでは、主要なスキャンタイプおよびプロファイルを比較し、セキュリティとコンプライアンスの要件に応じた最適なスキャンを選択できるように整理しています。
📊 全体比較マトリクス
| スキャンカテゴリ | 対象アセット | 主な焦点 | 解析手法 | トークン / AI消費 |
|---|---|---|---|---|
| モバイルアプリケーションスキャン | Android（.apk, .aab）、iOS（.ipa）、ストアURL、TestFlight |
バイナリの完全性、安全なストレージ、実行時動作、バックエンドAPI通信 | SAST、DAST、動的インストルメンテーション、APIファジング、AIペンテスト | オプション（Deep Agenticのみ） |
| WebおよびAPIスキャン | Webアプリ、SPA、REST、GraphQL、OpenAPI | インジェクション、認証バイパス、ビジネスロジック欠陥、依存関係の脆弱性 | ヘッドレスクローリング、アクティブファジング、Nuclei CVEテンプレート、AI脆弱性連鎖 | オプション（Deep Agenticのみ） |
| アタックサーフェススキャン | ドメイン、サブドメイン、IPレンジ、パブリッククラウド環境 | 組織全体の資産発見、境界監視、シャドーIT、CISA KEV | OSINT、DNSブルートフォース、証明書透明性、テンプレートスキャン | なし（トークン消費ゼロ） |
| ネットワークインフラストラクチャスキャン | 単一IP、CIDRブロック、ホスト名、ネットワークサービス | オープンポート、旧バージョンのデーモン、設定不備、初期設定の認証情報 | ポートスキャン、バナーフィンガープリント、プロトコル検証、AIネットワーク推論 | オプション（Deep Agenticのみ） |
| ソースコードスキャン | Gitリポジトリ（GitHub, GitLab, Bitbucket, Azure DevOps）、ZIPアーカイブ | ソースコード脆弱性、ハードコードされたシークレット、依存関係CVE、設計上の欠陥 | 決定論的SAST（Opengrep）、SCA（OSVロックファイル）、TruffleHogシークレット、AIマルチターンASTエージェント | 設定可能（Core, Advanced, Elite） |
📱 モバイル、Web、APIスキャンプロファイルの比較
それぞれのプロファイルは、実行速度、検査の深さ、CI/CD連携の要件に応じて最適化されています。
| 機能 / 機能性 | Fast Scan | Full Scan | Exhaustive Scan | Deep Agentic Scan | 単一脆弱性バリデータ |
|---|---|---|---|---|---|
| 主な用途 | PR / CI/CDパイプラインでの高速検証 | 定期的な詳細セキュリティ監査 | 外部露出および境界の定期監査 | リリース前ペンテストおよびゼロデイ発見 | 修正検証および再テスト |
| 実行時間 | 1 - 5分 | 15 - 45分 | 30 - 90分 | 1 - 3時間 | 2 - 10分 |
| 静的コード / バイナリ解析（SAST） | サポート | サポート | 一部（フィンガープリント） | サポート | 対象の課題に特化 |
| 動的実行時インストルメンテーション（DAST） | なし | サポート | なし | サポート（動的ツール） | 対象検証 |
| バックエンドAPIファジングと通信 | なし | サポート | 外部ディスカバリ | サポート | 対象エンドポイント |
| CVEおよび既知の脆弱性テンプレート | 依存関係（SCA） | サポート | 数千件（Nuclei） | サポート | 対象CVE |
| 自律的な脆弱性連鎖（Chaining） | なし | なし | なし | サポート（例: SSRFからRCE） | なし |
| ビジネスロジック脆弱性の検出 | なし | 基本的なヒューリスティック | なし | サポート（マルチターンLLM） | 対象検証 |
| PoCエクスプロイトの自動生成 | なし | なし | なし | サポート（実証可能PoC） | サポート |
| AIトークン要件 | なし | なし | なし | CybermodelsまたはBYOK | なし |
🔍 アタックサーフェススキャンの比較
アタックサーフェスマネジメント（ASM）スキャンは、コードの内部解析ではなく、組織の外部フットプリントのマッピングに特化しています。
| 項目 / ディメンション | Attack Surface Exhaustive Scan | Attack Surface KEV Scan | 詳細アセットスキャン（Web/モバイル/ネットワーク） |
|---|---|---|---|
| 目的 | 外部公開されているすべての資産の継続的発見とマッピング | 悪用が確認されている脆弱性の優先的検出 | 特定ターゲットに対する網羅的な脆弱性評価 |
| スコープ | 組織全体のドメイン、サブドメイン、証明書、公開モバイルアプリ | 発見された資産をCISA KEVカタログと自動照合 | 個別のアセット（アプリ、バイナリ、URL、IP）の詳細検査 |
| ディスカバリ情報源 | 証明書透明性ログ、DNSレコード、パブリッククラウド設定、ストア | CISA KEV自動フィード、脅威インテリジェンス | ユーザーが指定したリポジトリ、バイナリ、URL、またはIP |
| テストの深度 | 軽量で非侵入的なサービスフィンガープリントと露出検出 | 既知のエクスプロイト署名を対象とした高速チェック | 詳細なマルチターンファジング、SAST、DAST、ロジック検証 |
| 実行頻度 | 継続的 / スケジュール実行（毎日、毎週） | 継続的 / 新しいKEV公開時に自動実行 | コミットごと、ビルドごと、またはオンデマンド |
| 侵入性 | 安全かつ影響の極めて低い外部プローブ | 低影響のターゲットチェック | アクティブなファジングとエージェント型探索 |
🎯 最適なスキャンの選び方
- CI/CDおよびプルリクエストのチェック向け:
- Source Code Fast Scan または Mobile Fast Scan を使用して、トークンを消費せずに数分で実用的なフィードバックを取得します。
- 定期監査およびコンプライアンス向け:
- Full Web Scan または Full Mobile Scan を使用して、静的・動的・通信の全体像を監査します。
- 組織全体の可視化およびシャドーITの対策:
- Attack Surface Exhaustive Scan を実行して、放置されたサーバー、不明なサブドメイン、期限切れの証明書を継続的に特定します。
- リリース前検証および重要アプリケーション向け:
- Web Deep Agentic Scan、Mobile Deep Agentic Scan、または Source Code Scan (Advanced/Elite) を活用し、ビジネスロジックの欠陥やエクスプロイト連鎖を自律検出します。
- 脆弱性の修正確認向け:
- チケットから直接 Single Vulnerability Assessment を実行し、全体を再スキャンすることなく修正結果を迅速に検証します。