OWASP ZAP 基本的な使い方

2026-06-02 開発手法・テスト

「クレジットカード・セキュリティガイドライン」の改定によりECサイトでカード決済を導入する場合、Webアプリケーションの脆弱性対策が必須になりました。 ※参考：経済産業省 https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html そこで、今回は要件の１つである定期的な脆弱性診断の実施を行うための無料脆弱性診断ツールOWASPZAPについて、基本的な操作手順を紹介したいと思います。

今回の診断対象

今回はlocalhost環境で動作する簡単なWebアプリケーションを対象に診断を行います。サイト構成は下記のようなシンプルなものです。

トップページ
ログインページ
ダッシュボード

ページ数が少ないため、今回はスパイダー機能を使用せず、手動探索で対象URLを取得していきます。

OWASP ZAPの起動

OWASPZAPを起動すると、セッションの保存方法を求められます。セッションとはスキャン結果や設定内容を保存するためのデータになります。後から保存することはできますので「今はこのセッションを保存しない」で問題ありません。

セッション肥大の対策

規模の大きいサイトやURLが固定的なサイトでスキャンを実行するとセッションファイルが肥大化することがあり、次回同じセッションを開く際に時間がかかってしまう原因になってしまいます。この対策として、「ツール」→「オプション」→「データベース」から「終了時にコンパクト化」にチェックを入れておくことで、セッションサイズの増大を抑えることができます。 ※終了時にコンパクト化するため、終了時には時間がかかってしまいます。

クイックスタート

スキャンを開始するためにクイックスタートタブから操作を開始します。タブ内の「手動探索」タブを選択し、「探索対象URL」に診断対象のURL（今回はlocalhost）を入力してください。 URLを入力後、「アプリケーションを探索」ボタンをクリックすると、ブラウザが起動し、ZAPを経由した通信の取得が開始されます。そのままブラウザ操作をするとスキャン対象として取り込むことができます。なお、クイックスタートタブが表示されていない場合は、「表示」＞「タブ表示」からクイックスタートタブを有効化することで表示できます。

手動探索では、自分でリンクを辿りながら「サイト」タブにスキャン対象のURLを蓄積していきます。一方、スパイダー機能を使用すると、自動的にリンクを辿り、対象サイト内のURLを収集することも可能です。ページ数が多い場合はスパイダーを利用すると効率的ですが、今回はlocalhost環境で動作する簡単なアプリケーション（トップ・ログイン・ダッシュボードのみ）を対象としているため、手動探索で十分対応できます。 ※スパイダー機能を利用する場合は、後述するコンテキストへの追加が必要です。

アクティブスキャンの実行

対象ページへのアクセスが完了したら、アクティブスキャンを実行します。アクティブスキャンでは、実際にリクエストを送信して脆弱性の有無を検査します。ただし、サーバーに負荷をかけますのでローカル環境で行うなど、実行には十分に注意してください。アクティブスキャンを実行するには、対象のURLをコンテキストに追加する必要があります。コンテキストとはスキャン対象の範囲を定義する設定であり、ここに含まれていないURLはスキャン対象として扱われません。コンテキストへの追加は、「サイト」タブで対象URLを右クリックし、「コンテキストに含める」→追加したいコンテキストを選択することで簡単に設定できます。