脆弱性が検出された場合、まずは「再スキャンの実施」を行い、一時的なエラーによる誤検知でないかを確認します。
再スキャンでも検出される場合は、「脆弱性情報」と「検知理由」を確認したうえで、指摘内容のパターン（応答差分、既知の脆弱性、ブラウザ再現性、情報の性質など）に合わせて精査し、対処が必要な脆弱性かどうかを判断します。
本記事では、具体的な判断手順と精査方法をまとめます。
｜ 目次
再スキャンの実施
検出結果が不正確と思われる場合は、検知理由に関わらず、まずは再スキャンを実行してください。
スキャン時の「一時的な高負荷」や「データの不整合」が原因である場合、再スキャンを行うことで、それが一時的なエラー（誤検知など）であったかどうかを確認できます。
再スキャンの実施方法については、以下の記事をご参照ください。
https://www.aeyescan.help/hc/ja/articles/37804904553625
検出内容の確認
脆弱性が再現される場合、再現された挙動がセキュリティ上問題のある脆弱性かどうか判断するために、「脆弱性情報」と「検知理由」をご確認ください。
- 脆弱性情報
検出された脆弱性に関する一般的な説明が記載されています。どのような挙動がセキュリティ上問題のあるポイントなのか注意して確認してください。
- 検知理由
脆弱性を検知した根拠が記載されています。指摘された脆弱性がどのような根拠に基づいて指摘されたのか、実際に確認した挙動はどのようなものなのかご確認ください。
「脆弱性情報」でセキュリティリスクの概要をつかみ、「検知理由」で実際の動きと根拠を確認することで、この指摘が「自社システムにとって本当に対処が必要な脆弱性なのか」、「リスクは本当に存在するのか」を判断しやすくなります。
検知理由毎の精査方法
応答差分による検出の場合
「レスポンスボディが大きく変化しました。」等のメッセージが表示される場合、AeyeScanによる検査値の違いによる2種類のレスポンスを比較し、その差分を根拠に脆弱性を検出しています。
上記は異なるパターンの検査値を含めたリクエストを複数回交互に送信し、レスポンスボディが大きく変化したことで検出した際のメッセージの例です。
このような方法で検出する脆弱性はレスポンス内容の差分による検出判定を行っているため、脆弱性以外の原因で差分が発生すると、誤検知する可能性があります。
再スキャンを実施しても再現する場合は、検出結果の差分と検出パラメータを確認し、脆弱性以外の要因による差分が発生していないかご確認ください。
既知の脆弱性の場合
「脆弱な○○の利用」等の製品に関する既知の脆弱性が検出された場合は、まず実際に使用している製品のバージョンを特定し、該当の脆弱性の影響を受けるかどうかをお確かめください。
なお、脆弱性の種類によっては、製品のアップデート（更新）を行わなくても、設定変更のみで対策が可能な場合もあります。検出された脆弱性の詳細情報を十分に確認したうえで、対応の必要性についてご判断ください。
ブラウザ上で再現可能な場合
「不要なファイル」や「デフォルトアカウントアクセス」等の検出結果はブラウザで直接再現することが可能です。
検知理由を確認し、実際に再現可能かブラウザでアクセスしてご確認ください。
情報漏えいに関する指摘の場合
診断ツールから「〇〇（情報）がレスポンスボディに含まれていました。」等の、本来は外部からアクセスできない情報が出力されていることを検出の根拠としている脆弱性の場合は、指摘された情報が「外部に公開されても問題ないものかどうか」をご確認ください。
公開されても問題がない情報であれば、対応不要（誤検知）と判断して差し支えありません。