LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

Webアプリを公開する前に脆弱性を確かめたいが、外部の診断に毎回頼むと費用も日程もかさむ。無料のツールがあると聞いたものの、どこまで任せてよいのか分からない——。Webアプリを自社で開発・運用している会社では、こうした迷いが起こりがちです。OWASP ZAP（ゼットエーピー）は、Webアプリの脆弱性（セキュリティ上の弱点）を検査するための、無料で使えるオープンソースのツールです。

開発中のアプリに何度でも検査をかけられるため、よくある弱点を早い段階で見つけるのに向いています。ただし万能ではなく、業務の流れに沿った弱点の確認には人の目が必要です。本記事では、Webアプリのセキュリティを任された情報システムの担当者に向けて、OWASP ZAPの今の位置づけ、自動でできる検査、脆弱性診断の外注との違い、自社で使う進め方、そして外部に頼むときに確認したい点を整理します。

OWASP ZAPとは

OWASP ZAPは、2010年に公開され、まもなくOWASP（Webアプリのセキュリティに取り組む国際的な非営利団体）のプロジェクトになったツールです。正式な名前はZed Attack Proxyで、2023年にOWASPを離れました。^*4 2024年からはセキュリティ企業のCheckmarxが開発の中心メンバーを雇う形で支え、名前も「ZAP by Checkmarx」に変わっています。^*3

• 開発の主導はZAPのコアチームのままで、オープンソースであることも変わらないと案内されています^*3
• ライセンスはApache License 2.0（利用や改変を広く認めるライセンス）です^*5
• Windows・macOS・Linuxで動き、Docker（アプリをまとめて動かす仕組み）向けの版もあります^*2
• ブラウザとWebアプリの間に入って通信を中継し、そのやり取りを調べる仕組みです^*2

Checkmarxは、ZAPをもとにした自社の検査製品も手がけています。^*3 無料のZAPで足りるかどうかは、次の節で見る「自動でできる検査」の中身から考えると整理しやすくなります。

自動でできる検査

ZAPのいちばん簡単な使い方は、検査したいWebアプリのURLを入れて自動検査を始めることです。ZAPはまずスパイダー（リンクをたどって画面を集める機能）でページを集め、見つけたページを順に調べます。^*2 調べ方には、通信を見るだけの受動的な検査と、実際に攻撃を試す能動的な検査の2種類があります。

能動的な検査は本物の攻撃と同じ動きをするため、Webアプリの機能やデータを実際に壊すおそれがあります。公式の手引きは、検査の許可を得ているアプリにだけ使うよう求めています。^*2 心配な場合は、攻撃にあたる機能を止めるセーフモードに切り替えられます。本番の環境ではなく、本番と同じ構成の検証用の環境で動かすのが基本です。

脆弱性診断の外注との違い

ZAPの自動検査は手軽ですが、公式の手引き自身がいくつかの限界を挙げています。ログインが必要な画面は、認証の設定をしない限り見つけられません。また、スパイダーはフォームに決まった仮の値しか入れないため、正しいメールアドレスが要る登録画面などではその先に進めないことがあります。^*2

Webアプリの検査方法をまとめたOWASPの「Web Security Testing Guide」も、ツールは既知の型の弱点を見つけるのが得意な一方で、業務の流れ（ビジネスロジック）や前後の事情は理解しないと述べています。^*6 そのうえで、ツールで広く確かめ、人が業務の流れに沿って深く確かめる、という組み合わせを勧めています。

つまり、ZAPと外注の診断はどちらか一方を選ぶものではありません。開発中はZAPで繰り返し確かめ、公開の前や大きな改修の後は人の診断を受ける、という分け方がしやすい形です。診断の種類と費用の考え方は脆弱性診断を外注する費用相場と診断の種類で扱っています。

自社で使うときの進め方

ZAPを自社で使い始めるときは、ツールを入れる作業よりも、どの環境に何をかけるかを先に決めることが大切です。次の4つの段階で進めると、検査の結果を日々の開発に生かしやすくなります。

• ステップ1：検査してよい環境と対象を決め、検査の許可を取る
• ステップ2：自動検査で全体を確かめ、警告の一覧を見る
• ステップ3：ログインの設定をして、人が画面を操作しながらZAPに通信を見せる
• ステップ4：警告を見極めて直し、人の診断に回す画面を決める

つまずきやすいのはステップ4です。ZAPの警告は「弱点の可能性がある」ことを知らせるもので、^*2 そのまま開発の担当者に渡すと確認の手間が膨らみます。警告ごとに本当に直す必要があるかを見極める担当者を、あらかじめ決めておきます。開発の流れに検査を組み込む考え方はDevSecOpsの外注にまとめています。

外部に頼むときに確認しておきたい点

ZAPは無料で使えますが、検査の設定や警告の見極めには手間と知識が要ります。ZAPの運用を手伝ってもらう場合も、人による診断を頼む場合も、見積もりの前に次の点を確かめておきます。

• 何を頼むか：ZAPの設定と定期的な検査の仕組みづくりか、人による診断か、その両方か
• 対象と環境：どの画面・機能を、本番と検証用のどちらの環境で検査するか。検査の許可を書面で取るか
• ログイン後の画面：利用者の権限ごとに検査するか。テスト用のアカウントを誰が用意するか
• 結果の受け取り方：警告の見極めまで頼むか。直し方の説明と、直した後の再検査が含まれるか
• 運用後の見直し：改修のたびにどの検査をかけ直すか、その分担をどう決めるか

特に再検査は、頼む内容に含まれているかを最初に確かめておきたい点です。直した後の確認まで決めておくと、公開の直前に慌てずに済みます。

まとめ：OWASP ZAPで確かめておきたい3つの点

OWASP ZAPでWebアプリの検査を始めるうえで、確かめておきたい点は3つに整理できます。第一に、能動的な検査は本物の攻撃と同じなので、許可を取った検証用の環境にだけかけること。第二に、ログイン後の画面や業務の流れは自動検査では届きにくく、人の操作や診断で補うこと。第三に、警告を見極めて直す担当者と、人の診断に回す時期を先に決めることです。この3点を踏まえておけば、「ツールで検査を済ませたつもりでいたが、ログイン後の画面は一度も調べていなかった」という事態を避けやすくなります。検査の分担や進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：ZAP by Checkmarx 公式サイト（トップページ）（https://www.zaproxy.org/）。出典：無料のオープンソースのWebアプリ検査ツールであること、ZAP by Checkmarxの名称の記述を参照（2026年10月確認）
2. *2　参考：ZAP by Checkmarx「Getting Started」（https://www.zaproxy.org/getting-started/）。出典：プロキシとして通信を中継する仕組み、対応OSとDocker版、Java 17以降の要件、スパイダー、受動的スキャンと能動的スキャン、許可のない対象に使わない注意、セーフモード、ログインが必要な画面など自動検査の限界、警告の記述を参照（2026年10月確認）
3. *3　参考：ZAP Blog「ZAP Has Joined Forces With Checkmarx」（2024年9月24日）（https://www.zaproxy.org/blog/2024-09-24-zap-has-joined-forces-with-checkmarx/）。出典：Checkmarxによる支援、ZAP by Checkmarxへの名称変更、コアチームによる主導とオープンソースの継続、ZAPをもとにしたCheckmarxのDAST製品の記述を参照（2026年10月確認）
4. *4　参考：ZAP Blog「ZAP is Joining the Software Security Project」（2023年8月1日）（https://www.zaproxy.org/blog/2023-08-01-zap-is-joining-the-software-security-project/）。出典：2010年の公開とOWASPへの参加、OWASPを離れたことの記述を参照（2026年10月確認）
5. *5　参考：zaproxy/zaproxy（GitHub）（https://github.com/zaproxy/zaproxy）。出典：リポジトリの説明とライセンス（Apache License 2.0）を参照（2026年10月確認）
6. *6　参考：OWASP「Web Security Testing Guide」Introduction（GitHub）（https://github.com/OWASP/wstg/blob/master/document/2-Introduction/README.md）。出典：自動ツールは既知の型の弱点の発見が得意で業務の流れや文脈を理解しないこと、ツールと人による検査を組み合わせる考え方の記述を参照（2026年10月確認）

Tweet