ペネトレーションテストツールを用途別に比較｜無料OSS・商用の選び方と実施手順を解説

自社で運用するWebサービスや社内システムが、実際の攻撃にどこまで耐えられるのか。リリースや改修のたびに自分たちで確かめたいと考えても、ペネトレーションテストに使えるツールは数多く、何がどの検証に向くのか、無料で始められるのか有料の製品が要るのか、判断に迷いがちです。

自社の検証対象や実施担当者のスキル、予算に合ったツールを選ぶには、どのような観点で比較すればよいのでしょうか。闇雲に有名なツールを入れても、使いこなせなかったり、本来確かめたい箇所を検証できなかったりします。

本記事では、ペネトレーションテストに使う主要なツールを、用途・検証対象別に整理して比較・解説します。無料のオープンソースから有料の商用ツール、自前での実施が難しい場合に頼れる診断サービスまでを横断的に取り上げ、各ツールが何を検査でき、どんな企業に向くかをまとめました。自社に合った選択肢を見つける判断材料としてご活用ください。

また、自社の状況に合わせて最適なツール・サービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

ペネトレーションテストツールとは？脆弱性診断との違い

ペネトレーションテストツールとは、攻撃者の視点でシステムに侵入を試み、実際に被害が成立するかを検証するためのソフトウェアです。ポートやサービスの洗い出し、脆弱性の探索、見つけた弱点を突いた侵入の実証、パスワードの強度確認まで、検証の工程ごとに専用のツールが存在します。

よく混同されるのが「脆弱性診断」との違いです。脆弱性診断は既知の脆弱性を網羅的に洗い出す活動で、ペネトレーションテストは特定の攻撃シナリオに沿って「本当に侵入できるか」を実証する活動です。独立行政法人情報処理推進機構（IPA）は、両者の違いを次のように説明しています。

目的：攻撃シナリオを組み立て、侵入・権限昇格・情報奪取などの目的が成立するかを実証する。脆弱性診断とは異なり、網羅的に脆弱性を発見するわけではない。

出典：脆弱性診断内製化ガイド｜独立行政法人情報処理推進機構（IPA）

同ガイドでは、両者の使い分けについても整理されています。

脆弱性診断は、リリース前やリリース後、システム構成を変更した際に実施し、網羅的に脆弱性の有無を確認します。こうした診断を継続的に実施し、社内で脆弱性への対応プロセスやルールがある程度確立された状態になったうえで、重要なデータを扱うシステムや外部要件で実証的な検証が求められる場合にペネトレーションテストを実施し、残存リスクが実際に悪用可能かを評価するといった形が一般的です。

出典：脆弱性診断内製化ガイド｜独立行政法人情報処理推進機構（IPA）

まず脆弱性診断で弱点を洗い出し、その後に重要なシステムで「見つかった弱点が実際に悪用できるか」を確かめるのがペネトレーションテストです。ツールにも、網羅的なスキャンを得意とするものと、侵入の実証を担うものがあり、自社が確かめたいのがどちらなのかを最初に言語化しておくと、選ぶべきツールが絞り込めます。

両者をどう使い分けるか、目的・費用・進め方の観点で詳しく比べたい場合は、以下の記事で整理しています。

出典・参考資料（1件）

• 出典：脆弱性診断内製化ガイド｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2025/Vulnerability-assessment.html）

ペネトレーションテストツールの種類（用途・検証対象別）

ペネトレーションテストのツールは、検証の工程や対象ごとに役割が分かれています。ここでは用途・検証対象別に6つの種類へ整理します。自社が確かめたい対象（Webアプリケーションか、ネットワークか、認証の強度か）から、必要な種類を自己判断する手がかりにしてください。各種類の全体像と代表的なツールは次の一覧のとおりで、個々のツールはこのあと順に詳しく取り上げます。

1. 情報収集・ネットワーク探索系

検証の入り口として、対象ネットワークで稼働しているホスト・開放ポート・動作中のサービスやそのバージョンを洗い出す種類です。どこに攻撃の入口があり得るかを把握する工程で使われ、通信内容を記録・解析して平文のまま流れている情報がないかを確かめるツールも含まれます。侵入そのものではなく、攻撃者が最初に行う偵察を自分たちの手で再現する位置づけです。

2. 脆弱性スキャン系

既知の脆弱性のデータベースと照合し、対象のシステムやWebサーバーに該当する弱点がないかを自動で検出する種類です。短時間で多数の項目を機械的にチェックできるため、侵入の実証に進む前の下調べや、定期的な棚卸しに向きます。検出結果には誤検知も含まれるため、報告された項目を人の目で精査する前提で使います。

3. Webアプリケーション診断系

Webアプリケーション特有の脆弱性、たとえばSQLインジェクションやクロスサイトスクリプティング（XSS）などを検出・実証する種類です。通信を中継して改ざんしながらアプリケーションの挙動を確かめるものや、特定の攻撃手法に特化して自動で検証を進めるものがあります。自社でWebサービスを公開している企業にとって、最も優先度が高い種類といえます。

4. 攻撃・認証突破の実証系

見つかった脆弱性を実際に突いて侵入が成立するかを確かめたり、認証の強度や無線ネットワークの安全性を試したりする種類です。脆弱性を悪用して侵入・権限昇格を再現するフレームワーク、パスワードの総当たりや解析で認証の弱さを検証するツール、Wi-Fiの暗号設定の弱点を確かめるツールなどが含まれます。被害が成立するかを直接検証するため、実行には後述する許可取得が特に重要になります。

5. 統合環境・ディストリビューション系

偵察・スキャン・実証といった各工程のツールを、あらかじめ1つの環境にまとめて提供する種類です。個別にツールを導入・設定する手間を省き、検証に必要な一式をそろえた状態から始められます。幅広い検証を行う担当者にとって作業の基盤となる一方、多機能なぶん使いこなしには一定の習熟が必要です。

6. 自前実施が難しい場合の診断SaaS・ペネトレーション代行

ツールを自分たちで運用する人員やスキルが確保できない場合に、ツールの運用やペネトレーションテストそのものを外部に委ねる選択肢です。クラウド上で脆弱性診断を自動実行する形態（SaaS）や、専門家が攻撃シナリオを組み立てて実施する人手の代行サービスがあります。自前のツールと同じ土俵で比較することで、どこまで自社で行い、どこから委ねるかを判断しやすくなります。

ペネトレーションテストツールの選び方（検証対象・費用・スキル）

ここからは、数あるツールから自社に合うものを絞り込むための観点を整理します。検証対象・費用・実施担当者のスキルの3つを軸に考えると、候補を現実的な範囲まで狭められます。

何を検証したいか（検証対象）で選ぶ

最初に確かめるべきは、自社が守りたい対象です。公開しているWebアプリケーションの安全性を確かめたいのか、社内ネットワークやサーバーの構成を点検したいのか、無線ネットワークや認証の強度を試したいのかによって、必要なツールの種類は変わります。検証対象と種類の対応は「ペネトレーションテストツールの種類」を参照してください。

対象が複数にまたがる場合は、すべてを一度にそろえようとせず、事業上のリスクが大きい対象から着手するのが現実的です。顧客データを扱うWebサービスを公開しているならWebアプリケーション診断系から、社内システムやサーバーの保全が主な関心なら脆弱性スキャン系・情報収集系から始めるとよいでしょう。

運用が定着してから認証・無線の実証系へ広げる、といった段階的な進め方が無理なく回ります。種類ごとに1本ずつ候補を持ち、必要になった工程から導入すると、使いこなせないツールを抱え込まずに済みます。

誰が実施するか（実施担当者のスキル）で選ぶ

ツールには、画面操作（GUI）中心で扱えるものと、コマンドライン（CLI）での操作が主体のものがあります。検証の知見がこれからの担当者が使うなら、操作画面がそろい、検出結果の解釈を補助する機能があるツールのほうが着手しやすくなります。一方、細かい条件を指定して検証を作り込みたい場合は、コマンドライン主体のツールのほうが柔軟です。

導入時には、担当者が結果を読み解き、誤検知を切り分けられるかまで含めて見積もっておくと、導入後に使われないツールを増やさずに済みます。

無料OSS（オープンソース）と有料商用ツールの違い

費用の軸では、無料で使えるオープンソースのツールと、有料の商用ツールのどちらを選ぶかが論点になります。オープンソースのツールは導入コストをかけずに始められるものが多く、まず自社で試す段階に向きます。ただし、操作や結果の解釈に知見が必要で、サポートはコミュニティのドキュメントやフォーラムが中心です。

有料の商用ツールは、検出精度の高さや操作画面の使いやすさ、公式サポート、レポート出力の機能などに費用を払う選択です。多くはライセンス費用が年額で発生し、上位の機能は料金プランによって分かれます。

無料のオープンソースで検証の範囲や手間を把握したうえで、継続運用で足りない部分を有料ツールで補う、という順序で検討すると費用対効果を見極めやすくなります。各ツールの無料・有料とおおよその料金は、このあと紹介する比較表で確認できます。

自社に合うツール・サービスがわかる選定診断

ここまで選び方の観点を整理してきましたが、自社がどのツール・サービスに適しているかの判断が難しいケースもあります。そのような場合でも、自社の状況に合わせて最適な選択肢を最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。検証対象・担当者のスキル・予算・自前か外注かの観点から、適したツールや診断サービスをご提案します。

【比較表】主要なペネトレーションテストツール・診断サービス比較

ここからは、自社の課題や要件に合わせて客観的に比較・選定できるよう、主要なペネトレーションテストツールと診断サービスを一覧で比較します。種別（用途・検証対象）・主な用途・無料か有料か・料金の目安・操作（GUI/CLI）・対応OS・提供形態を横並びで確認できます。

※料金・仕様は2026年11月時点の各社公式情報に基づく一般的な傾向です。実際の機能や料金、提供形態の詳細は各社の公式情報をご確認ください。日本円換算は1ドル155円で計算した目安で、為替相場により変動します。

主要なペネトレーションテストツール・サービスの詳細

ここからは、比較表で取り上げたツールと診断サービスを、用途・検証対象の種類ごとに詳しく紹介します。まず自分たちで使うツールを工程順に取り上げ、最後に自前での実施が難しい場合に頼れる診断SaaS・ペネトレーション代行サービスを紹介します。

情報収集・ネットワーク探索系のツール

攻撃の入口を洗い出す偵察・解析の工程で使うツールです。

1. Nmap（Network Mapper）（Nmap Project）

Nmap（Network Mapper）は、対象ネットワークで稼働するホストや開放ポート、動作中のサービスとそのバージョン、OSの種類を調べるネットワークスキャナーです。ペネトレーションテストの偵察フェーズで使われ、攻撃の入口になり得る箇所を自分たちの手で洗い出せます。

生のIPパケットを使ったポートスキャンやホスト発見に加え、Nmap Scripting Engine（NSE）でスクリプトによる検査を追加でき、既知脆弱性の確認などにも応用できます。画面操作で扱えるGUI版のZenmapも同梱します。

ライセンスはNmap Public Source License（NPSL）で、ライセンス費用や利用料はかかりません。サポートはメーリングリストや公式ドキュメントなどコミュニティが中心です。ポートやサービスの可視化が役割のため、脆弱性の網羅的な検出や侵入の実証は別のツールと組み合わせて使います。

2. Wireshark（Wireshark Foundation）

ネットワークを流れるパケットを1つずつ取得し、プロトコルごとに中身を表示するネットワークプロトコルアナライザが、Wiresharkです。寄付で運営されるWireshark Foundationのもと、ボランティアコミュニティによって開発が続けられています。

ネットワークインターフェースからのライブ取得と、保存済みキャプチャファイルの読み込みの両方に対応し、ディスプレイフィルタで特定のプロトコルや条件の通信だけを絞り込んで確認できます。TLSなどで暗号化されていない通信は、パケットの中身を直接読み取れます。

GPLv2のオープンソースで、全機能をそろえたフルバージョンを無料で利用できます。Windows・macOS・Linux・UNIXに対応します。ただしパケットを送らない解析専用のツールで、脆弱性の悪用や攻撃は行いません。侵入の実証には別のツールを併用します。

脆弱性スキャン系のツール

既知の脆弱性を自動で洗い出すスキャンの工程で使うツールです。

3. Nessus（Tenable, Inc.）

1998年に公開され、商用の脆弱性スキャナーとして長く使われてきたソフトウェア型のツールです。米国のTenable, Inc.が開発し、自社の環境にインストールして、サーバーやネットワーク機器の既知の脆弱性（CVE）・設定不備を自動で検出します。

プラグイン（検査項目）方式で既知の脆弱性を照合し、公式記載で336,000件超のCVEと450以上のポリシー・テンプレート（CISベンチマーク監査を含む）に対応します。検出した脆弱性は、深刻度の標準指標であるCVSS、悪用される可能性を示すEPSSに加え、独自指標のVPRで優先度付けされ、対応の順序を判断しやすくなっています。

料金は有料のサブスクリプションです。ネットワーク脆弱性診断向けのNessus Professionalが1年あたり4,790米ドル、外部アタックサーフェス探索やIaC（Infrastructure as Code）スキャンを加えたNessus Expertが1年あたり6,790米ドルです（いずれも公式表示額）。

日本円での価格や国内代理店経由の購入は要お問い合わせとなります。

出典・参考資料（2件）

• 出典：Nessus（製品情報・料金）｜Tenable, Inc.（https://www.tenable.com/products/nessus）
• 出典：Nessus スキャン・ポリシーテンプレート｜Tenable Docs（https://docs.tenable.com/nessus/Content/ScanAndPolicyTemplates.htm）

4. OpenVAS（Greenbone AG）

ドイツのGreenbone AGが開発する、ネットワークやサーバー・機器の脆弱性を検査するスキャナーです。無償のGreenbone Community Edition（オープンソース）と、商用のアプライアンス（物理・仮想）の2系統があり、OpenVASはそのスキャンエンジンにあたります。

IPで到達できるデスクトップ・サーバー・ルーター・VoIP機器から産業機器まで、幅広い対象に脆弱性検査を実行します。商用のエンタープライズフィードは10万件超の脆弱性テストを含むと公式に記載され、ドイツ連邦情報セキュリティ庁（BSI）との協業やGDPR準拠も公式に挙げられています。

出典・参考資料（1件）

• 出典：Greenbone / OpenVAS（製品情報）｜Greenbone AG（https://www.greenbone.net/en/）

Community Editionは無料で、自社設置型のネットワーク脆弱性スキャンを始められます。ただし構築・運用には専門知識が必要で、サポートはコミュニティベースです。商用アプライアンスの価格はスキャン対象の環境に応じて変わり、要問い合わせとなります。

5. Nikto（CIRT.net）

Webサーバーを対象に、危険なファイルやCGI・古いバージョンのソフトウェア・設定不備などを高速にチェックする、無料のオープンソースのスキャナーです。CIRT.net（Chris Sulloほか）が開発し、Perlで書かれたコマンドラインツールとして提供されています。

Kali Linuxなどに標準で同梱されており、導入の手間が少ない点が特徴です。スキャン項目のデータベースは頻繁に更新され、自動更新にも対応します。複数ポート・複数サーバーのスキャンやSSLにも対応しています。

ライセンス費や利用料はかからず（GPL）、Webサーバーの既知の弱点を手早く洗い出せます。一方で、Webアプリの深い動的診断よりも、サーバーや既知項目のチェックが主眼です。誤検知の切り分けには手動の知見が要り、サポートはコミュニティベースとなります。

Webアプリケーション診断系のツール

公開中のWebアプリケーションの脆弱性を検出・実証するツールです。

6. Burp Suite（PortSwigger Ltd.）

Webアプリケーションとサーバー間の通信を傍受・改変しながら脆弱性を検査するintercepting proxy（通信を中継するプロキシ）を中核とした、手動セキュリティテスト向けのツールキットです。英国のPortSwigger Ltd.が開発し、SQLインジェクションやクロスサイトスクリプティング（XSS）の調査で広く使われています。

無料のCommunity Editionは手動テストの基本ツールを備え、学習や小規模な検査から始められます。有料のProfessionalは手動ツールに自動脆弱性スキャナー（Burp Scanner）を加えた構成で、公式購入ページでは$499と表示されています。組織向けに自動スキャンを担うDASTは見積り制です。

公式はWeb Security Academyという無料の学習教材を提供しています。一方で、日本語のサポート窓口や国内代理店の有無は公式情報で確認できないため、導入時は公式サイトで最新の条件を確かめてください。

7. OWASP ZAP（ZAP Dev Team）

OWASP ZAP（Zed Attack Proxy）は、無償で利用できるオープンソースのWebアプリケーション脆弱性スキャナーで、通信を傍受するintercepting proxyの機能も兼ね備えています。ブラウザと対象アプリの間に入り、クロール（スパイダー）・受動スキャン・能動スキャンによって脆弱性を検出します。

GUIのほかCLI・Docker・APIを備え、Automation Frameworkを使えばCI/CDパイプラインに組み込んだ自動診断も行えます。アドオンのMarketplaceで機能を拡張でき、有償のDAST（動的アプリケーションセキュリティテスト）製品を使わずに、自社検証や一次的なWeb診断を無償で始められます。

一方で、誤検知の切り分けや複雑な認証フロー・ビジネスロジックの診断には手動の知見が必要です。サポートはコミュニティが中心で、商用製品のようなSLAや日本語の問い合わせ窓口はありません。費用をかけずに自社でWeb診断を始めたい企業に向く選択肢です。

8. sqlmap（sqlmapproject）

SQLインジェクションの検出と悪用を自動化することに特化した、オープンソースのコマンドラインツールです。sqlmapprojectが開発・公開しており、対象URLなどを指定して実行すると、脆弱なパラメータの特定からデータベース管理システム（DBMS）の判別、データの列挙・取得までを自動で進めます。

注入手法は公式Wikiでboolean-based blindやUNION queryなど6種類、公式サイトでは5種類と記載され、対応するDBMSは公式サイトで40以上とされています。手作業では手間のかかるSQLインジェクションの検証を自動化できる点が特徴です。

ライセンスはGPLv2で無償利用でき、独自製品への組み込みなど商用利用向けには別途商用ライセンス（問い合わせ先 sales@sqlmap.org）が用意されています。ただし検査対象はSQLインジェクションに限られ、XSSや認証の不備などは対象外です。操作はコマンドライン中心で、診断レポートの自動生成などの機能は備えません。

出典・参考資料（2件）

• 出典：sqlmap（公式サイト・対応DBMS）｜sqlmap project（https://sqlmap.org/）
• 出典：sqlmap Features（注入手法）｜GitHub sqlmapproject/sqlmap Wiki（https://github.com/sqlmapproject/sqlmap/wiki/Features）

攻撃・認証突破の実証系のツール

見つけた弱点を実際に突いて侵入可否を確かめ、認証や無線の強度を試すツールです。

9. Metasploit（Rapid7, Inc.）

対象システムの既知の脆弱性を実際に悪用し、侵入の可能性や影響範囲まで確かめられるフレームワークが、Metasploitです。エクスプロイトモジュールとペイロードのライブラリを備え、脆弱性が「存在するか」だけでなく「悪用できるか」まで踏み込んで検証します。

提供形態は2系統あり、コマンドライン中心のMetasploit Frameworkは無償のオープンソースとしてエクスプロイトのフルセットを使えます。GUI・自動化・レポート機能などを備える商用版のMetasploit Proは、公式ページに定価の記載がなく要問い合わせです。

Kali Linuxなどの検証用OSにも標準で同梱されています。攻撃コードを扱うため高度な専門知識が前提で、許可を得た自社の検証環境で使うことが基本です。

10. Hydra（van Hauser／THC）

Hydra（THC-Hydra）は、ネットワーク経由でログイン試行を並列に送り、認証の強度を試すパスワード総当たり・辞書攻撃ツールです。SSH・FTP・HTTP・RDP・SMBや各種データベースなど多数のプロトコルに対応し、1つのツールで幅広いサービスの認証を検証できます。

ライセンスはAGPL-3.0で、無償で利用できるオープンソースです。商用プランやSaaS版は公式には提供されておらず、Kali Linuxに標準パッケージとして収録されています。操作はコマンドラインが中心で、GUI版のxhydraが別パッケージで提供されます。

対象サービスへ実際にログイン試行を送るオンライン型のため、試行がそのまま対象の負荷やログ、アカウントロックとして現れます。READMEにも合法な目的に限る旨が明記されており、対象システムの管理者から書面で承認を得た環境で使うことが前提です。

11. John the Ripper（Openwall）

John the Ripperは、取得済みのハッシュに対してパスワードの強度を解析するオフライン型のツールです。拡張版のJumboは数百種のハッシュ・暗号形式に対応し、OSのパスワードやWi-Fi、暗号鍵、ディスク・文書など取得済みの対象を横断して検査できます。

コミュニティ版のcoreとJumboは無償のGPLライセンスでソースが公開されており、多くのOSのパッケージで入手できます。商用版のJohn the Ripper Proも提供されますが、公式ページに価格の記載はなく要問い合わせです。辞書・ルール・マスクなど複数の解析モードを組み合わせて使えます。

解析できるのは取得済みのハッシュで、ハッシュを取り出す侵入やダンプの工程は別途必要です。他者のシステムのデータを許可なく解析すると法に触れるおそれがあるため、権限を得た対象に限って使います。

12. Aircrack-ng（Aircrack-ngプロジェクト）

Aircrack-ngは、無線LAN（802.11）のセキュリティ評価に特化したコマンドラインツール群です。公式は機能をモニタリング・攻撃・テスト・鍵解析の4領域に整理しており、パケットの取得からWEPやWPA/WPA2-PSKの鍵解析までを一連の作業として行えます。

ライセンスはGPL-2.0で、無料で利用できるオープンソースです。Linuxを中心にWindows・macOS・BSD系などに対応します。ただし検証には、モニターモードとパケットのインジェクションに対応したWi-Fiアダプターが必要です。

対象は無線LANに限られ、Webアプリやネットワーク全般、脆弱性スキャンは範囲外です。WPA/WPA2-PSKの解析は辞書に依存するため、パスフレーズが辞書になければ解読できません。自社または書面で許可を得た無線LANに対してのみ実行してください。

統合環境・ディストリビューション系のツール

検証に必要なツールを1つの環境にまとめて提供するツールです。

13. Kali Linux（OffSec Services Limited）

Kali Linux は、OffSec が Community Projects の一つとして開発する Debian ベースのオープンソース Linux ディストリビューションです。公式はペネトレーションテスト・セキュリティ研究・デジタルフォレンジック・リバースエンジニアリング向けと位置づけており、前身は BackTrack Linux です。

数百のツール（公式 docs の「several hundred tools」）が導入・設定済みの状態で提供され、環境構築の手間を省けるのが特徴です。

Nmap・Metasploit Framework・Burp Suite・Wireshark・sqlmap などを含み、kali-linux-default や kali-tools-web といった用途別メタパッケージで導入範囲を絞り込めます。利用は無料で、Kali 独自の統合部分のライセンスは GNU GPL v3 です。

提供形態は、インストーラや事前構築済み VM に加え、AWS・Azure などのクラウド、Docker、WSL、Raspberry Pi をはじめとする ARM、Android 向けの NetHunter まで用意されています。

公式は Linux に不慣れな人や汎用デスクトップ用途には非推奨とし、想定対象をプロのペンテスターや認定資格の受験者としているため、初心者には VM への導入が案内されています。

出典・参考資料（1件）

• 出典：Kali Tools（同梱ツール一覧）｜OffSec（https://www.kali.org/tools/）

自前実施が難しい場合の診断SaaS・ペネトレーション代行

ツールの運用やペネトレーションテストそのものを外部に委ねたい場合に検討できるサービスです。資料を取り寄せれば、対応範囲や料金を自社の要件と照らし合わせて比較できます。

ここで取り上げる2社に限らず、脆弱性診断サービス全体を診断方法・費用相場・選び方から広く比較したい場合は、以下の記事を参照してください。

14. Aikido Security（株式会社AndGo）

Aikido Securityは、ソースコードや依存ライブラリ、クラウド設定、稼働中のWebアプリケーションを1つの管理画面で検査するSaaS型の脆弱性診断ツールです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売窓口として、日本語での導入・運用の伴走を担います。

診断は、稼働中のWebアプリを対象とする動的診断（DAST）、ソースコード診断（SAST）、クラウド設定診断（CSPM）などに対応し、検出したアラートを自動で振り分けて誤検知を減らします。Slack・Teams・Jiraなどと連携でき、修正案をプルリクエストとして自動作成する機能も備えます。

日本窓口が参考価格として示すのは、1〜10ユーザーのBasicプランが年額3,780ドル、オンプレミスでのスキャンに対応するProプランが年額7,560ドルで、為替を考慮した日本円での請求となります。月額5万円台から利用でき、無料のDeveloperプランで導入前に試せるため、自社サービスを内製開発していて脆弱性診断を開発工程に組み込みたい企業に向きます。

日本窓口を担う株式会社AndGoの原氏は、脆弱性診断ツールを運用する現場で起きやすい課題について、次のように話します。

15. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker 脆弱性診断サービスは、CoWorker株式会社が自社開発したAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた、人手の脆弱性診断サービスです。もともと受託開発を手がけてきた企業が、開発の過程で多く寄せられたセキュリティ相談を背景に提供を始めました。

診断メニューは、ソースコードをAIが解析する「ソースコードAI診断」、稼働中のWebアプリ・APIを対象とする「動的脆弱性診断」、実際の攻撃を想定して侵入可否を検証する「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3種類です。AIによる自動解析を用いて、診断時間を従来比で最大1/10に短縮するとしています。

料金は診断メニューごとに分かれ、ソースコード診断が15万円から、動的診断が30万円から、Webペネトレーションテストが60万円からを目安としています。自前での診断ツールの運用が難しく、専門家による診断を外部に委ねたい企業が、自社の検証対象に合わせてメニューを選べるサービスです。

AIによる自動解析には精度への懸念も伴います。CoWorker株式会社の一ノ瀬氏は、AI解析と人による確認をどう組み合わせているかを次のように説明します。

安全・適法にペネトレーションテストを実施する前提

ツールを選ぶ前に、必ず押さえておきたいのが実施の前提です。ペネトレーションテストは攻撃を模した行為であり、対象や手続きを誤ると法に触れるおそれがあります。自分たちで実施する場合は、以下の前提を満たしたうえで着手してください。

許可のない他者システムへの侵入行為は法律で禁じられている

不正アクセス行為の禁止等に関する法律（以下、不正アクセス禁止法）は、第三条で不正アクセス行為を禁じています。

何人も、不正アクセス行為をしてはならない。

出典：不正アクセス行為の禁止等に関する法律 第三条｜e-Gov法令検索

ここでいう「不正アクセス行為」は、同法第二条第四項で、アクセス制御機能（ID・パスワードなどによる利用制限）で守られたシステムに対し、他人の識別符号を入力したり制限を回避したりして、本来できない利用をできる状態にする行為と定義されています。重要なのは、その定義に次の除外が含まれている点です。

（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。）

出典：不正アクセス行為の禁止等に関する法律 第二条第四項第一号｜e-Gov法令検索

自社が管理するシステムを自ら検証する場合や、システムの管理者から承諾を得て実施する場合は、この「不正アクセス行為」に当たりません。逆に、許可を得ずに他者のシステムへアクセス（認証の突破や制限の回避）を試みると、本法に抵触するおそれがあります。

違反した場合の罰則は、同法第十一条で「三年以下の拘禁刑又は百万円以下の罰金」と定められています。ツールを持っていること自体が問題なのではなく、許可の範囲を超えた対象に使うことが問題になる、という線引きを押さえておきましょう。

出典・参考資料（1件）

• 出典：不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/411AC0000000128）

事前の実施承認とスコープの合意を文書で残す

自社システムが対象であっても、着手前に関係部門の承認を得ておく必要があります。検証は対象システムに負荷や障害を与える可能性があるため、システムの運用担当や資産の責任者と実施時期・対象を調整し、承認を得てから進めます。IPAの脆弱性診断内製化ガイドは、計画段階での手続きを次のように示しています。

計画段階ではシステム開発やシステム運用を担う組織と診断対象や実施時期を調整し、アセットオーナーへシステムへの影響を説明したうえで実施承認を得る手続きが発生する。

出典：脆弱性診断内製化ガイド｜独立行政法人情報処理推進機構（IPA）

あわせて、検証の対象範囲（スコープ）をどこまでにするか、どのシステムや処理を対象外にするかを事前に合意し、文書として残しておくことが推奨されています。

診断実施にあたっては、業務影響や技術的制約により、特定のシステムや処理について診断対象から除外、または一部制限を設けるケースがある。このような除外・制限事項については、脆弱性診断チームとアセットオーナーの間で除外の理由や未診断領域の残存リスクなどあらかじめ調整・合意し、文書で明確に管理しておく必要がある。

出典：脆弱性診断内製化ガイド｜独立行政法人情報処理推進機構（IPA）

本番環境への影響を避けたい場合は、本番と同じ構成を持つ検証環境を用意して実施する方法も示されています。許可・スコープ・実施環境の3点を事前に固めておくことが、安全で適法な実施の土台になります。

出典・参考資料（1件）

• 出典：脆弱性診断内製化ガイド｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2025/Vulnerability-assessment.html）

ペネトレーションテストを自分で実施する手順

許可とスコープの合意が整ったら、実際の検証に進みます。自前で実施する場合の基本的な流れは、シナリオ設計から始まり、情報収集・スキャン・侵入検証を経て、報告書の作成で締めくくります。

シナリオを設計する

まず、どのような攻撃者が、どの資産を狙い、どこから侵入してくるかという想定（シナリオ）を決めます。たとえば「外部のインターネットから公開Webサーバーを経由して顧客データに到達できるか」といった形です。

この段階で、検証担当者にシステムの内部情報をどこまで渡すか（内部構成を開示して行う形式か、情報を与えずに外部の攻撃者と同じ条件で行う形式か）も決めておきます。目的と範囲が曖昧なまま着手すると、確かめたかった弱点を見落とす原因になります。

情報収集・スキャン・侵入検証を進める

シナリオに沿って、対象の情報収集から始めます。稼働しているホストやサービスを洗い出し、脆弱性スキャンで弱点の候補を特定したうえで、見つかった弱点を実際に突いて侵入が成立するかを検証します。各工程では「用途・検証対象別の種類」で整理したツールを使い分けます。本番環境で行う場合は、合意したスコープを超えないこと、業務への影響を監視しながら進めることに注意します。

報告書にまとめる

検証で判明した侵入経路・成立した攻撃・残存リスクを報告書にまとめます。検出した弱点を列挙するだけでなく、どのシナリオでどこまで到達できたか、優先して対処すべき箇所はどこかを示すと、改修につなげやすくなります。報告書は次回の検証の出発点にもなるため、使用したツールや条件も記録しておきます。

自前実施と外注（診断サービス・ペネトレ代行）どちらを選ぶか

ここまで、自前で実施する場合の前提と手順を見てきました。最後に、そもそも自前で行うか、外部のサービスに委ねるかを、どう判断すればよいかを整理します。

ツールがそろっても、使いこなす人員や時間が確保できなければ、検証は続きません。自前で実施するか、外部のサービスに委ねるかは、担当者のスキル・検証の規模・予算の3点で判断します。

検証の知見を持つ担当者が社内におり、継続的に手を動かせる体制があるなら、無料のオープンソースを中心に自前で始める選択が費用面で有利です。一方、担当者のスキルや時間が足りない場合や、重要なシステムで客観的な評価が求められる場合は、クラウド上で診断を自動実行する診断SaaSや、専門家が実施するペネトレーション代行サービスに委ねる選択が現実的です。

自動診断のSaaSは定期的なスキャンを省力化でき、人手の代行は高度な攻撃シナリオの実証を任せられます。

こうした定期的な診断の必要性について、CoWorker株式会社の一ノ瀬氏は、攻撃側の変化を次のように指摘します。

すべてを自前か外注かで割り切る必要はありません。日常的なスキャンは自社のツールで行い、重要なシステムの実証的な検証だけを外部に委ねる、といった組み合わせも有効です。自前が難しいと感じる場合は、前述の診断SaaS・ペネトレーション代行サービスの資料を取り寄せ、対応範囲と料金を自社の要件と照らし合わせて検討してみてください。

ペネトレーションテストそのものを専門会社に委ねたい場合は、以下の記事で費用相場・診断範囲・選び方から発注先を比較できます。

まとめ

ペネトレーションテストツールは、情報収集・スキャン・Webアプリケーション診断・攻撃の実証・統合環境という用途ごとに役割が分かれており、自社が確かめたい検証対象から必要な種類を絞り込むのが選定の近道です。費用の面では、まず無料のオープンソースで範囲と手間を把握し、足りない部分を有料の商用ツールで補う順序が無理のない進め方です。

実施にあたっては、許可の範囲を超えた対象に使わないこと、事前に承認とスコープの合意を文書で残すことが欠かせません。自前での実施が難しい場合は、診断SaaSや人手のペネトレーション代行サービスという選択肢もあります。各ツール・サービスの資料をまとめて取り寄せ、自社の検証対象・スキル・予算に合う組み合わせを見つけてください。

よくある質問（FAQ）

Q. ペネトレーションテストツールとは何ですか？

A. ペネトレーションテストツールとは、攻撃者の視点でシステムへの侵入を試み、実際に被害が成立するかを検証するためのソフトウェアです。ポートやサービスの洗い出し、脆弱性の探索、弱点を突いた侵入の実証、パスワード強度の確認まで、検証の工程ごとに専用のツールがあります。無料で使えるオープンソースから有料の商用ツールまで幅広く存在し、自社の検証対象に合わせて組み合わせて使うのが一般的です。

Q. ペネトレーションテストツールと脆弱性診断ツールは何が違いますか？

A. 両者の違いは、脆弱性診断が既知の弱点を網羅的に洗い出すのに対し、ペネトレーションテストは特定の攻撃シナリオに沿って「本当に侵入できるか」を実証する点にあります。一般には、まず脆弱性診断で弱点を洗い出し、その後に重要なシステムで、見つかった弱点が実際に悪用できるかをペネトレーションテストで確かめる流れがとられます。

自社が確かめたいのが網羅的な棚卸しなのか、侵入の実証なのかを最初に言語化すると、選ぶべきツールが絞り込めます。

Q. ペネトレーションテストツールは無料のものだけで十分ですか？

A. ペネトレーションテストツールは、検証対象が限られ、社内に知見のある担当者がいれば、無料のオープンソースだけでも着手できます。ただし無料ツールは操作や結果の解釈に専門知識が必要で、サポートはコミュニティのドキュメントやフォーラムが中心です。検出精度やレポート機能で有料の商用ツールに劣る場面もあります。

まず無料のオープンソースで検証の範囲と手間を把握し、足りない部分を有料ツールや外部の診断サービスで補う順序で検討すると、費用対効果を見極めやすくなります。

Q. ペネトレーションテストツールを許可なく他社のシステムに使うと違法になりますか？

A. 許可なく他者のシステムへ認証の突破や制限の回避を試みる行為は、不正アクセス禁止法に抵触するおそれがあります。一方で、自社が管理するシステムを自ら検証する場合や、システムの管理者から承諾を得て実施する場合は、同法が禁じる「不正アクセス行為」には当たりません（同法第二条第四項の承諾による除外）。

問題になるのはツールを持っていること自体ではなく、許可の範囲を超えた対象に使うことです。違反した場合は三年以下の拘禁刑または百万円以下の罰金が定められているため、自前で実施する際は、対象の承認とスコープの合意を文書で残してから着手してください。

出典・参考資料（1件）

• 出典：不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/411AC0000000128）

Q. ペネトレーションテストツールは初心者はどれから始めればよいですか？

A. 初心者がペネトレーションテストツールを始める場合は、自社の検証対象に合わせて、画面操作で扱いやすいツールを1つ選ぶのが無難です。たとえばネットワークの点検なら情報収集・ネットワーク探索系、公開中のWebアプリの診断なら無償で使えるWebアプリケーション診断系のツールが、情報も多く着手しやすい選択肢です（具体的なツール名は比較表で確認できます）。

多数のツールを一式そろえた統合環境系は便利ですが、使いこなしに一定の習熟が必要なため、まずは仮想マシン（VM）で試す形が公式でも案内されています。いきなり攻撃を実証するツールに手を広げず、情報収集・スキャンの工程から段階的に慣れていくとよいでしょう。

Q. ペネトレーションテストは自前で実施すべきですか、外注すべきですか？

A. 担当者のスキル・検証の規模・予算の3点で判断します。社内に知見があり継続的に手を動かせるなら無料のオープンソースで自前、スキルや時間が足りない場合や重要システムの客観的な評価が要るなら診断SaaS・代行への外注が向きます。日常のスキャンは自前、重要システムの実証だけ外注、という組み合わせも有効です。判断軸の詳細は本文「自前実施と外注どちらを選ぶか」で解説しています。

Q. ペネトレーションテストツールはWindowsでも使えますか？

A. ペネトレーションテストツールは、パケット解析系や無線系のようにWindowsに対応するものもありますが、多くはLinux環境を前提に作られています。そのため、WindowsのユーザーはツールをまとめたLinux環境（統合環境系）を、仮想マシン（VM）やWSL上で動かして使うのが一般的です。

導入前に、使いたいツールが自社の実施環境（OS）に対応しているかを公式情報で確認しておくと、導入後に動かせないという事態を避けられます。

ペネトレーションテストツール・診断サービスの資料を一括チェック

MCB FinTechカタログでは、ペネトレーションテストに使える診断ツールやペネトレーション代行サービスの最新資料を無料で一括請求できます。対応範囲や料金を比べて、自社の検証体制に合う選択肢を見つけられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。