_edited.png&w=3840&q=75){kind=small}
脆弱性診断ツールおすすめ12選｜無料・有料を比較【2026年版】
目次
- 比較する前に決める3つのこと
- 本記事で比較する12製品の選定方針
- 脆弱性診断ツール12選の比較表
- 脆弱性診断ツールは4種類に分けて選ぶ
- Webアプリ・APIを確認するDAST
- ネットワーク・サーバーを確認するスキャナー
- ソースコード・依存関係を確認するSAST・SCA
- クラウド設定を確認するCSPM
- 結論：目的別に選ぶ脆弱性診断ツール
- 脆弱性診断ツール12製品の特徴
- ZAP：無料でWebアプリ診断を始めたい企業向け
- Burp Suite：WebアプリとAPIを手動で詳しく確認
- Nuclei：テンプレートで既知の問題を継続確認
- Greenbone Community Edition：ネットワークとサーバーをOSSで確認
- Nessus：サーバー・機器の脆弱性を幅広く確認
- Trivy：コンテナ・依存関係・IaCをCI/CDで確認
- Semgrep：開発中のソースコードと依存関係を確認
- Prowler：AWS・Azure・Google Cloudの設定を確認
- AeyeScan：操作性と日本語レポートを重視
- Securify：Web・ASM・クラウドを一元管理
- Vex：本格的なWeb脆弱性診断の内製化
- GMOサイバー攻撃ネットde診断：低予算から継続監視
- 無料ツールと有料ツールの違い
- 無料のWeb脆弱性診断ツールを安全に使うための準備
- ZAPでWebアプリを確認するときの基本的な流れ
- 無料ツールで確認しやすいこと・判断しにくいこと
- 脆弱性診断ツールを選ぶ7つの基準
- ツールを内製運用するときに必要な役割
- 内製と専門家への依頼を判断するチェックリスト
- 脆弱性診断ツール導入から改善までの流れ
- まとめ
- よくある質問
- 脆弱性診断ならセキュリティ診断PLUS
- 無料相談で確認できること
- 関連ページ
脆弱性診断ツールを探していても、「製品が多く違いが分からない」「無料ツールで十分か判断できない」「導入しても結果を扱えるか不安」と悩む方は少なくありません。
脆弱性診断ツールは、Webアプリ、ネットワーク、ソースコード、依存ライブラリ、クラウド設定など、確認対象によって種類が異なります。知名度や価格だけで選ぶと、確認したい範囲を診断できない可能性があります。
この記事では、代表的な脆弱性診断ツール12製品を対象別に比較し、無料・有料の違い、選び方、内製に必要な体制、専門家へ依頼すべきケースまで解説します。
この記事でわかること
- 診断対象に合う脆弱性診断ツール
- 無料ツールと有料ツールの違い
- ツール選定で確認すべき7つの基準
- 内製・併用・外注のどれが自社に適するか
比較する前に決める3つのこと
製品名や料金だけを先に比べると、必要な診断範囲を満たさないツールを選ぶ可能性があります。まず次の3点を決めると、候補を絞りやすくなります。
| 先に決めること | 確認する内容 | 選び方への影響 |
|---|---|---|
| 診断対象 | Web・API、ネットワーク、コード・依存関係、クラウド設定のどれか | 対応する診断方式と製品群が決まる |
| 実施目的 | 開発中の日常点検、公開前評価、監査・取引先への報告のどれか | 必要な精度、レポート、第三者性が変わる |
| 運用体制 | 対象設定、誤検出の精査、修正判断を担当できるか | 内製、専門家との併用、外注のどれが適するか決まる |
日常的な定型確認はツールで自動化しやすい一方、複雑な権限や業務ロジック、第三者評価は人による確認が必要です。IPAの脆弱性診断内製化ガイドでも、ツール選定だけでなく、外部発注との違い、組織体制、人材、継続的な改善を含めて内製化を検討する考え方が示されています。
本記事で比較する12製品の選定方針
本記事では、次の方針で無料OSS、海外製品、国内製品から12製品を選定しました。
- Web・API、ネットワーク、コード・依存関係、クラウド設定を偏りなく比較できる
- 無料利用の可否、料金、日本語対応を公式情報で確認できる
- 個人の学習用だけでなく、企業での継続運用も検討できる
- 検出機能だけでなく、対象設定、結果の精査、運用負荷まで評価できる
掲載順は総合ランキングではありません。診断対象と社内体制によって適した製品が異なるため、目的別に比較しています。
脆弱性診断ツール12選の比較表
| ツール | 主な対象 | 無料利用・料金目安 | 日本語対応 | 向いている企業 |
|---|---|---|---|---|
| ZAP | Webアプリ・API | 無料・OSS | △ コミュニティ中心 | 費用を抑えてWeb診断を学びたい |
| Burp Suite | Webアプリ・API | Community無料／Professional有料 | △ 公式情報は英語中心 | 手動検証を行う技術者がいる |
| Nuclei | Web・ネットワーク | CLIは無料・OSS | △ 公式情報は英語中心 | 既知問題を継続的に確認したい |
| Greenbone Community Edition | ネットワーク・サーバー | 無料・OSS | △ コミュニティ中心 | 自社で環境構築・運用できる |
| Nessus | ネットワーク・サーバー | Essentials無料枠／Professional年4,790米ドル | △ プラン・販売店による | サーバーや機器を幅広く確認したい |
| Trivy | コンテナ・IaC・依存関係 | 無料・OSS | △ 公式情報は英語中心 | CI/CDへ組み込みたい |
| Semgrep | ソースコード・依存関係 | Free無料／Teams月30米ドル〜・1人 | △ 公式情報は英語中心 | 開発中にコードを継続確認したい |
| Prowler | クラウド設定 | OSS版無料／Cloudは利用量による | △ 公式情報は英語中心 | AWS・Azure・Google Cloudを確認したい |
| AeyeScan | Webアプリ | 無料トライアル／有料版は要見積もり | ◎ 国内サポート | 操作性と日本語レポートを重視する |
| Securify | Web・ASM・クラウド等 | 月額5万円〜／無料トライアルあり | ◎ 国内サポート | 複数領域を一元管理したい |
| Vex | Webアプリ | 年66万円〜／無料トライアルあり | ◎ 国内サポート | 本格的にWeb診断を内製化したい |
| GMOサイバー攻撃ネットde診断 | Web・外部公開資産 | Lite 4,280円〜／ASM月4万円〜 | ◎ 国内サポート | 小さく始めて継続監視したい |
ツールは一つですべてを診断するものではありません。まず診断対象を分け、その対象に合うツールを選ぶことが重要です。
※料金・無料利用・サポート情報は2026年7月24日に各製品の公式サイトで確認した内容です。税、為替、契約条件、対象数、オプションによって変わるため、導入時は必ず公式サイトで最新情報をご確認ください。脆弱性診断ツールは4種類に分けて選ぶ
Webアプリ・APIを確認するDAST
稼働中のWebアプリへ疑似的なリクエストを送り、SQLインジェクションやクロスサイトスクリプティングなどを確認します。ZAP、Burp Suite、AeyeScan、Securify、Vexなどが該当します。
ただし、自動巡回できない認証画面や業務ロジック、利用者ごとの権限差はツールだけでは確認しにくい領域です。無料ツールを安全に使うための準備と、ツールでは判断しにくい範囲は本記事の後半で解説します。
ネットワーク・サーバーを確認するスキャナー
IPアドレスやホストを対象に、公開ポート、OS、ミドルウェア、既知の脆弱性を確認します。Greenbone Community Edition、Nessus、GMOサイバー攻撃ネットde診断などが代表例です。
ソースコード・依存関係を確認するSAST・SCA
ソースコードの問題を調べるSASTと、利用しているライブラリの既知脆弱性を調べるSCAがあります。SemgrepやTrivyなどが該当します。
クラウド設定を確認するCSPM
公開設定、権限、暗号化、ログなど、クラウド固有の設定ミスを確認します。ProwlerやSecurifyなどが候補になります。ただし、複数アカウントをまたぐ権限経路や事業固有のリスクは、人による確認も必要です。
結論：目的別に選ぶ脆弱性診断ツール
| 自社の目的 | 最初に検討しやすいツール | 選定時の注意 |
|---|---|---|
| Web診断を無料で学びたい | ZAP | 認証設定と結果の精査が必要 |
| Webアプリを手動で詳しく確認したい | Burp Suite | Community Editionには自動スキャナーがない |
| 既知の問題を定期的に確認したい | Nuclei | テンプレートの選定・更新・安全確認が必要 |
| サーバーやネットワーク機器を確認したい | Greenbone／Nessus | 対象IP、認証スキャン、更新頻度を確認 |
| コンテナやCI/CDを確認したい | Trivy | 検出後の更新ルールまで決める |
| ソースコードを開発中に確認したい | Semgrep | 対応言語とルールの適合性を確認 |
| クラウド設定を確認したい | Prowler | 複数アカウントと権限経路は別途確認 |
| 日本語でWeb診断を内製化したい | AeyeScan／Securify／Vex | 対象数、契約期間、支援内容を比較 |
| 低予算で外部公開資産を継続確認したい | GMOサイバー攻撃ネットde診断 | プランごとの対象差を確認 |
| 判断・精査を担当できる人がいない | 専門会社へ依頼 | ツール購入だけでは運用負荷を解消できない |
脆弱性診断ツール12製品の特徴
ZAP：無料でWebアプリ診断を始めたい企業向け
ZAPは、無料で利用できるオープンソースのWebアプリケーションスキャナーです。GUI、クイックスキャン、自動化機能があり、Web診断の学習や開発中の基本チェックに向いています。
- 強み：無料で始められ、自動化の選択肢もある
- 注意点：認証後画面の巡回や誤検出の精査には知識が必要
- 向いている企業：検証環境と診断結果を確認できる技術者がいる企業
Burp Suite：WebアプリとAPIを手動で詳しく確認
Burp Suiteは、HTTP通信を確認・編集しながらWebアプリやAPIを手動検証できるツールです。Community Editionは学習・基本的な手動確認向け、Professionalは自動スキャナーや高度な機能を利用する専門家向けです。
- 強み：認証後の操作やリクエストを細かく確認できる
- 注意点：Community Editionだけで自動診断を完結する製品ではない
- 向いている企業：Webセキュリティの知識を持つ担当者がいる企業
Nuclei：テンプレートで既知の問題を継続確認
Nucleiは、テンプレートを使ってWeb、ネットワーク、クラウドなどの既知の問題を確認するオープンソースツールです。CI/CDや定期実行へ組み込みやすい一方、実行するテンプレートの内容と対象への影響を理解する必要があります。
- 強み：高速で自動化しやすく、確認範囲を拡張できる
- 注意点：テンプレートの品質、安全性、更新管理が必要
- 向いている企業：CLIや自動化を扱える担当者がいる企業
Greenbone Community Edition：ネットワークとサーバーをOSSで確認
Greenbone Community Editionは、ネットワーク機器やサーバーの脆弱性管理環境を自社で構築できるオープンソース版です。
- 強み：無料でネットワーク・サーバーの確認環境を構築できる
- 注意点：セットアップ、フィード更新、性能管理を自社で行う
- 向いている企業：Linuxやネットワークを運用できる担当者がいる企業
Nessus：サーバー・機器の脆弱性を幅広く確認
Nessusは、OS、ネットワーク機器、アプリケーションの既知脆弱性や設定を確認するツールです。公式サイトではNessus Essentialsの無料枠と、Nessus Professional年4,790米ドルが案内されています。
- 強み：幅広い対象、更新される検査項目、レポート機能
- 注意点：無料枠には期間・IP数・機能の制限がある
- 向いている企業：複数のサーバーやネットワーク機器を管理する企業
Trivy：コンテナ・依存関係・IaCをCI/CDで確認
Trivyは、コンテナイメージ、コードリポジトリ、依存関係、IaC、Kubernetesなどを確認できるオープンソースのスキャナーです。
- 強み：対象が広く、開発パイプラインへ組み込みやすい
- 注意点：検出件数を減らすための更新方針と例外管理が必要
- 向いている企業：コンテナやクラウドネイティブ環境を開発する企業
Semgrep：開発中のソースコードと依存関係を確認
Semgrepは、ソースコードの問題を検出するSASTを中心に、依存関係やシークレットの確認にも対応する開発者向け製品です。公式料金ではFree Editionが無料、Teamsは1人あたり月30米ドルからです。
- 強み：CI/CD連携、ルール拡張、開発者へのフィードバック
- 注意点：対象言語とルールによって検出範囲が異なる
- 向いている企業：開発段階から継続的に確認したい企業
Prowler：AWS・Azure・Google Cloudの設定を確認
Prowlerは、AWS、Azure、Google Cloud、Kubernetesなどを対象に、クラウド設定と各種基準への適合状況を確認できるオープンソースツールです。
- 強み：クラウドの多数の設定項目を継続確認できる
- 注意点：業務固有の権限設計や攻撃経路まで保証するものではない
- 向いている企業：クラウドを複数アカウントで運用する企業
AeyeScan：操作性と日本語レポートを重視
AeyeScanは、Webアプリケーションの巡回・診断・レポート作成を自動化する国産クラウドサービスです。無料トライアルは2サイト、期間中の診断回数無制限で、有料版は個別見積もりです。
- 強み：日本語画面、画面遷移の可視化、国内サポート
- 注意点：対象サイト数と診断可能な認証方式を確認する
- 向いている企業：専門担当者が少なく、Web診断を内製化したい企業
Securify：Web・ASM・クラウドを一元管理
Securifyは、Web脆弱性診断に加え、ASM、CSPM、SBOMなどを一つのプラットフォームで管理できる国産サービスです。Web診断は月額5万円からで、無料トライアルがあります。
- 強み：日本語対応、複数領域の一元管理、診断回数無制限
- 注意点：必要な機能と対象IP・FQDN数を先に整理する
- 向いている企業：複数のセキュリティ情報をまとめて管理したい企業
Vex：本格的なWeb脆弱性診断の内製化
Vexは、Webアプリケーション脆弱性診断業務を内製化するための国産ツールです。公式料金はVex Teamが年66万円から、Enterpriseが年300万円からで、無料トライアルも用意されています。
- 強み：自動スキャンからシナリオ診断まで段階的に選べる
- 注意点：診断担当者の教育と運用体制も必要
- 向いている企業：継続的にWeb診断を実施する体制を作りたい企業
GMOサイバー攻撃ネットde診断：低予算から継続監視
GMOサイバー攻撃ネットde診断は、簡易確認、外部公開資産管理、Webアプリ診断を目的別に選べる国産サービスです。公式サイトではLiteが4,280円から、ASMが月4万円から、Webアプリ版が19万8,000円からと案内されています。
- 強み：小さく始めやすく、日本語で結果を確認できる
- 注意点：各プランで診断対象と深さが異なる
- 向いている企業：専任担当者が少なく、外部公開資産を継続確認したい企業
無料ツールと有料ツールの違い
| 比較項目 | 無料ツール | 有料ツール |
|---|---|---|
| 初期費用 | 抑えやすい | ライセンス・契約費用が必要 |
| 対象設定 | 自社で行う | ウィザードや支援がある場合が多い |
| 継続管理 | 自作・組み合わせが必要 | 資産管理やダッシュボードを備える場合が多い |
| レポート | 技術者向けが中心 | 管理者・監査向け機能がある場合が多い |
| サポート | コミュニティ中心 | ベンダーサポートを利用できる |
| 結果の精査 | 自社で必要 | 製品による。人の確認は別途必要 |
有料だから検出漏れや誤検出がなくなるわけではありません。有料製品の価値は、運用、資産管理、継続監視、サポートまで含めて判断しましょう。
無料のWeb脆弱性診断ツールを安全に使うための準備
ZAPやBurp Suite Community Editionなどの無料ツールは、開発中の基本確認や学習に役立ちます。ただし、診断ツールは通常とは異なる値や多数のリクエストを送るため、設定によってはデータ登録、メール送信、アカウントロック、負荷増大を引き起こす可能性があります。
実行前に、次の項目を確認してください。
- 自社が所有する、または明確な許可を得たシステムか
- 診断対象のURL、ドメイン、APIを限定したか
- 本番ではなく検証環境を利用できるか
- テスト用アカウントとテストデータを用意したか
- メール送信、決済、退会、削除などを除外したか
- バックアップと復旧方法を確認したか
- 実施時間、監視担当者、異常時の停止条件を決めたか
第三者が運営するWebサイトへ、許可なく診断ツールを実行してはいけません。クラウド、ホスティング、決済サービスなどを利用している場合は、契約や利用規約も確認してください。
ZAPでWebアプリを確認するときの基本的な流れ
- 所有・許可を確認し、検証環境を準備する
- 対象URLと除外URLを決める
- テスト用アカウントで手動操作し、画面遷移を確認する
- パッシブスキャンで通信を観察する
- 対象範囲を限定してアクティブスキャンを実行する
- 高・中リスクの指摘から応答内容を確認する
- 修正後に同じ条件で再確認する
アクティブスキャンは対象へ攻撃パターンを送信します。対象を限定せずに実行したり、本番環境でいきなり実行したりしないでください。
無料ツールで確認しやすいこと・判断しにくいこと
| 確認しやすいこと | ツールだけでは判断しにくいこと |
|---|---|
| 既知のWeb脆弱性の兆候 | 利用者ごとの認可・権限 |
| セキュリティヘッダーなどの基本設定 | システム固有の業務ロジック |
| 公開されたサーバー情報や既知の設定不備 | SSO・多要素認証後の重要画面 |
| 修正前後の定型的な再確認 | 複数の弱点を組み合わせた攻撃経路 |
| 開発工程での継続的な一次確認 | 技術的な問題が事業へ与える影響 |
無料ツールの検出結果は、脆弱性が確実に成立することや、未検出の問題が存在しないことを保証しません。診断できた画面、認証後の巡回範囲、誤検出、事業影響まで確認できる体制が必要です。
脆弱性診断ツールを選ぶ7つの基準
- 診断対象：Web、API、ネットワーク、コード、クラウドのどれを確認するか
- 認証への対応：SSO、多要素認証、複数権限を扱えるか
- 自動化：CI/CDや定期実行へ組み込めるか
- 結果の精査：誤検出を判断できる担当者がいるか
- 影響管理：本番環境への負荷やデータ変更を制御できるか
- 報告と共有：開発者、管理者、監査担当者へ説明できるか
- 総コスト：ライセンスだけでなく構築、運用、教育工数を含めて比較したか
ツールを内製運用するときに必要な役割
| 役割 | 主な作業 |
|---|---|
| ツール管理者 | 対象登録、認証設定、更新、実行管理 |
| セキュリティ担当者 | 誤検出の精査、危険度と事業影響の判断 |
| 開発・インフラ担当者 | 原因調査、修正、再診断 |
| 責任者 | 優先順位、例外、残存リスクの承認 |
ツールを購入しても、アラートを判断して修正につなげる担当者がいなければ形骸化します。導入前に運用責任と対応期限まで決めておきましょう。
内製と専門家への依頼を判断するチェックリスト
該当する条件から、推奨する実施方法を確認してください。
| 自社の状況 | 推奨する方法 |
|---|---|
| 定型的な確認を繰り返したい | ツールによる内製を検討 |
| 診断結果を精査できる担当者がいる | ツールによる内製を検討 |
| 検証環境とテストデータを用意できる | ツールによる内製を検討 |
| 認証・権限構成が比較的単純である | ツールによる内製を検討 |
| 個人情報、決済情報、医療情報などを扱う | ツールと専門家診断を併用 |
| 本番公開や大規模改修を予定している | ツールと専門家診断を併用 |
| 複数権限や複雑な業務ロジックがある | 専門家による診断を推奨 |
| 取引先や監査へ第三者評価を提出する | 専門家による診断を推奨 |
| インシデント後に侵入可能性まで確認したい | 専門家による診断を推奨 |
| 誤検出を精査できる担当者がいない | 専門家による診断を推奨 |
内製を検討しやすいケース
上から4項目をすべて満たし、開発中の日常点検が目的なら、無料・有料ツールによる内製を検討できます。
併用を検討したいケース
重要情報を扱う場合や公開前の評価では、日常点検をツールで行い、節目で専門家の診断を組み合わせる方法が現実的です。
専門家への依頼を検討したいケース
複雑な権限、監査対応、インシデント後の確認、専門人材不足のいずれかに該当する場合は、ツール購入より先に外部診断を検討してください。
脆弱性診断ツール導入から改善までの流れ
- 守るべき情報と対象システムを整理する
- Web、ネットワーク、コード、クラウドに対象を分類する
- 検証環境で候補ツールを試す
- 認証、除外対象、停止条件を設定する
- 検出結果の誤検出と事業影響を精査する
- 修正担当者と期限を決める
- 再診断し、定期実行へ組み込む
まとめ
脆弱性診断ツールは、Webアプリ、ネットワーク、ソースコード、依存関係、クラウド設定など、対象ごとに使い分ける必要があります。
無料・有料だけで選ばず、診断対象、認証対応、誤検出の精査、運用体制、総コストまで確認してください。日常的な定型チェックはツールで内製し、重要システム、複雑な権限、監査前の確認は専門家へ依頼する組み合わせが現実的です。
よくある質問
Q. 無料で使える脆弱性診断ツールはありますか？
A. はい。ZAP、Nikto、Nuclei、Greenbone Community Edition、Semgrep、Trivy、OWASP Dependency-Checkなどがあります。無料でも、対象設定や結果の精査には専門知識が必要です。
Q. 初心者にはどの脆弱性診断ツールが向いていますか？
A. 対象によって異なります。Webアプリの学習にはZAP、コンテナや依存関係の確認にはTrivy、ソースコードの確認にはSemgrepなどがあります。まず検証環境で試してください。
Q. 脆弱性診断ツールだけで安全性を確認できますか？
A. すべてを確認することはできません。認証・権限、業務ロジック、複数の弱点を組み合わせた攻撃などは、ツールだけでは見つけにくい場合があります。
Q. 無料ツールと有料ツールでは検出精度が違いますか？
A. 有料ツールは管理・自動化・サポート機能が充実している場合がありますが、有料であれば誤検出や検知漏れがなくなるわけではありません。
Q. 脆弱性診断ツールを本番環境で実行してもよいですか？
A. ツールや設定によっては負荷、データ登録、サービスへの影響が発生します。所有者の許可、対象範囲、バックアップ、実施時間、停止条件を決めてください。
Q. 脆弱性診断を外注する場合の費用はいくらですか？
A. 対象と範囲によって異なります。セキュリティ診断PLUSでは、Webアプリと外部ネットワークは30万円〜、内部ネットワークは50万円〜、オンプレサーバーは60万円〜、クラウドは80万円〜です。詳しい費用の考え方は脆弱性診断を外注した場合の費用相場をご確認ください。
脆弱性診断ならセキュリティ診断PLUS
セキュリティ診断PLUSでは、Webアプリ、モバイルアプリ、AWS・Azure・Google Cloud、オンプレサーバー、内部・外部ネットワークの脆弱性診断に対応しています。
ツールによる確認だけでなく、対象やプランに応じて専門家が結果を精査し、優先して対応すべき問題と改善方法を整理します。
- Webアプリセキュリティ診断：30万円〜
- 内部ネットワークセキュリティ診断：50万円〜
- オンプレサーバーセキュリティ診断：60万円〜
- クラウドセキュリティ診断：80万円〜
無料相談で確認できること
- Web、ネットワーク、クラウドなど、確認すべき診断対象
- 日常点検をツールで内製できる範囲
- 専門家による確認を組み合わせるべき範囲
- おおよその診断期間、進め方、料金
- 見積もりに必要な対象URL、IP数、環境情報
ツールの導入が適している場合まで無理に外部診断を勧めるのではなく、対象と社内体制を確認したうえで、必要な確認方法を整理します。相談時点で詳細な仕様書がなくても、対象システム、公開予定日、確認したい不安が分かればご相談いただけます。
関連ページ
- 脆弱性診断を外注した場合の費用相場 — 対象別の外注費用
- 脆弱性診断会社の選び方 — 依頼先を見極める基準
- 脆弱性診断サービス — 診断対象とサービス内容
- 料金 — セキュリティ診断PLUSの料金
