手動診断でしか見つからない脆弱性の話 - エムティーアイ エンジニアリングブログ

※この記事は「エムティーアイ Blog Summer 2026」の 6/26 の記事です。 こんにちは、テクノロジー本部 Red Teamの石廣です。 今回は、Red Teamの強みでもある手動診断について、自動スキャンとの違いを交えながらお話しします。 目次 はじめに 自動スキャンが得意なこと 自動・手動・コードレビューの役割分担 自動スキャンが見落とすもの 1. ビジネスロジックの脆弱性 2. 複雑な IDOR（水平権限昇格） 3. 競合状態 4. 多段階の攻撃チェーン 5. 認証フローのバイパス 6. SSRF の複雑なケース 手動診断のアプローチ 手動診断にも限界はある まとめ 参考資料 はじめに 「脆弱性診断ツール、導入してますよ」 そう言われることがあります。ZAP や Burp Suite などの自動スキャン、確かに有効なツールです。 でも、手動診断をしていると、ツールがまっ

[peperon_brain]

ここで挙げられてるものもコード食わして観点出しすることはできると思うし、最近外部委託したとこのレポート読むとそういうやり方してそうだなと感じる。言語化できてる時点で自動化には半分手が届いてる

[jksy]

AIで見つかりそう

[nguyen-oi]

自動スキャンだけで満足してる開発者に読ませたい良記事。ビジネスロジックの隙間とか競合状態は人間が頭使わんと絶対見抜けんからな