ZAP 調査レポート
1. 基本情報
- ツール名: ZAP (Zed Attack Proxy)
- ツールの読み方: ザップ
- 開発元: Checkmarx / ZAP Dev Team
- 公式サイト: https://www.zaproxy.org/
- 関連リンク:
- GitHub: https://github.com/zaproxy/zaproxy
- ドキュメント: https://www.zaproxy.org/docs/
- カテゴリ: セキュリティ・脆弱性診断
- 概要: ZAPは世界で最も広く利用されているオープンソースのWebアプリケーションセキュリティスキャナー（DASTツール）である。ペネトレーションテストの手動支援や、CI/CDパイプラインでの自動脆弱性テストに用いられ、初心者からプロフェッショナルまで幅広く利用されている。
2. 目的と主な利用シーン
- 解決する課題: WebアプリケーションやAPIに潜むセキュリティ脆弱性（XSS、SQLインジェクションなど）の早期発見と修正。
- 想定利用者: セキュリティエンジニア、開発者、QAエンジニア、ペネトレーションテスター
- 利用シーン:
- Webアプリケーションのリリース前における自動・手動での脆弱性診断
- CI/CDパイプライン（DevSecOps）への組み込みによる自動セキュリティテスト（回帰テスト）
- 開発中におけるリクエスト／レスポンスの傍受（ローカルプロキシとしての利用）とデバッグ
3. 主要機能
- インターセプトプロキシ (Intercepting Proxy): ブラウザとWebアプリケーション間の通信を傍受・検査・改ざんする。手動診断の基盤となる。
- アクティブスキャン (Active Scan): 既知の攻撃ペイロードを送信し、システムを実際に攻撃して脆弱性を発見する動的テスト機能。
- パッシブスキャン (Passive Scan): リクエストとレスポンスを安全に監視し、HTTPヘッダーの欠落など安全な設定が行われているかを検査する。
- スパイダー (Traditional / AJAX / Client Spider): リンクをたどってサイト全体を探索する機能。最新のClient Spiderはブラウザ拡張機能を介してDOMにアクセスし、複雑なSPAの探索精度を向上させている。
- ファザー (Fuzzer): パラメータに対して大量の無効なデータや予期しないペイロードを送信し、予期せぬ動作を誘発させる。
- オートメーションフレームワーク (Automation Framework): YAMLベースのプロファイルでスキャンの一連の流れをジョブとして定義・自動化し、CLIから簡単に実行できる機能。
- ZAP HUD (Heads Up Display): ブラウザ上にZAPの機能をオーバーレイ表示し、対象サイトを操作しながら直感的にセキュリティテストを行える。
- Marketplace (アドオン): コミュニティやコアチームが開発した多種多様な拡張機能（アドオン）をインストールし、機能を柔軟に強化できる。
4. 開始手順・セットアップ
- 前提条件:
- Java 17以上の実行環境（デスクトップ版のZAP 2.16.0以降）
- Docker環境（コンテナで実行する場合）
-
インストール/導入:
# Dockerを利用した起動例（安定版のCLI実行） docker run -v $(pwd):/zap/wrk/:rw -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://www.example.com -g gen.conf -r testreport.html - 初期設定:
- デスクトップ版の場合、ブラウザのプロキシ設定をZAP（デフォルトは
localhost:8080）に向け、ZAPのルートCA証明書をブラウザにインポートする。
- デスクトップ版の場合、ブラウザのプロキシ設定をZAP（デフォルトは
- クイックスタート:
- デスクトップ版を起動し、「Quick Start」タブから対象のURLを入力して「Automated Scan」をクリックするだけで、スパイダーによる探索とアクティブスキャンが自動で開始される。
5. 特徴・強み (Pros)
- 完全無料のオープンソース: 商用ツールに見られるようなスキャン回数、スキャン対象、機能の制限がなく、すべて無料で利用できる。
- 強力な自動化とDevSecOpsへの親和性: Automation Framework、GitHub Actions向け公式アクション（
zap-action）、充実したAPIなど、CI/CDへの組み込みを前提とした機能が豊富。 - 高い拡張性と最新トレンドへの追従: Marketplaceを通じたアドオン提供により常に進化している。MCP（Model Context Protocol）によるAIエージェント連携や、OWASP PTKとの統合など、新しい技術への対応が非常に早い。
- 巨大なコミュニティ: 多くのユーザーとコントリビューターによって支えられており、情報収集やトラブルシューティングが容易。
6. 弱み・注意点 (Cons)
- 学習コストと設定の複雑さ: 機能が多岐にわたるため、複雑な認証（SSOやトークン認証など）の突破や、Automation Frameworkの高度なカスタマイズには深い理解が必要。
- 誤検知（False Positives）: アクティブスキャン・パッシブスキャンともに誤検知が発生しやすいため、スキャン結果を鵜呑みにせず、人間の専門家による精査・チューニングが必要。
- Javaへの依存: デスクトップアプリケーションを動作させるためにはJava 17以上の環境が必要（DockerやWebswingを使用すれば回避可能）。
7. 料金プラン
| プラン名 | 料金 | 主な特徴 |
|---|---|---|
| オープンソース版 | 無料 | すべての機能（コア機能、Marketplaceの全アドオン）が制限なく利用可能。 |
- 課金体系: 完全無料（Apache License 2.0）
- 無料トライアル: なし（常に無料）
- 備考: ツール自体は無料だが、ZAPコアチームによる有償のプロフェッショナルサービス・サポートを受けることも可能。
8. 導入実績・事例
- 導入企業: 規模を問わず、世界中の無数の企業、政府機関、オープンソースプロジェクトで広く利用されている。
- 導入事例:
- 開発のCI/CDパイプライン（GitHub Actions, GitLab CI, Jenkins等）に組み込まれ、毎日のビルドで脆弱性を自動チェックする用途で広く活用されている。
- 対象業界: ソフトウェア開発、金融、教育、Eコマース、政府機関など、Webアプリケーションを扱うあらゆる業界。
9. サポート体制
- ドキュメント: 公式ドキュメント、ZAP Desktop User Guide、動画チュートリアルなどが非常に充実している。
- コミュニティ: ZAP User Group (Google Groups) やGitHubのIssue/Discussionなどで活発なサポートが行われている。
- 公式サポート: 基本的にコミュニティ主導だが、コアチームメンバーによるプロフェッショナルサービスが提供されている。
10. エコシステムと連携
10.1 API・外部サービス連携
- API: ZAPは強力なREST APIを備えており、外部プログラムからほぼすべての操作（スキャンの開始・停止、結果の取得、設定の変更等）が可能。
- 外部サービス連携: Jenkins、GitHub Actions、GitLab CI/CD、DefectDojo（脆弱性管理）、OWASP PTK、MCP (Model Context Protocol) 連携など、セキュリティエコシステムに広く統合されている。
10.2 技術スタックとの相性
| 技術スタック | 相性 | メリット・推奨理由 | 懸念点・注意点 |
|---|---|---|---|
| CI/CD (GitHub Actions / GitLab CI等) | ◎ | 公式アクションやDockerイメージが完備されており、パイプラインへの統合が標準的にサポートされている。 | 大規模なスキャンの場合はCIの実行時間が長くなるため、設定のチューニングが必要。 |
| モダンWebフレームワーク (React / Vue 等) | ◯ | Client SpiderやAJAX Spiderにより、JavaScriptを多用するSPAのクローリングに対応している。 | 従来のTraditional Spiderでは探索漏れが発生しやすいため、適切なSpiderの選択が必要。 |
| AIアシスタント / エージェント | ◎ | MCPサーバーとしてZAPを連携可能。Claude等のAIにスキャンやアラートの取得を自然言語で指示できる。 | まだ初期段階であり、機能が拡張・実験中の部分がある。 |
11. セキュリティとコンプライアンス
- 認証: アプリケーションの複雑な認証（Cookie, トークン, OAuth, スクリプトベースのブラウザ認証等）をサポートし、認証後のセッションを維持した状態でのスキャンが可能。
- データ管理: スキャンデータはローカルのデータベース（HSQLDB等）に保存され、ユーザーが意図しない限り外部のサーバーにデータが送信されることはない。
- 準拠規格: OWASP Top 10、API Security Top 10などの主要な脆弱性診断基準の項目をスキャンルールがカバーしている。
12. 操作性 (UI/UX) と学習コスト
- UI/UX: 非常に多機能であるため、初学者には情報量が多く複雑に感じられるインターフェースだが、ZAP HUDや「Quick Start」タブなど、手軽に利用開始できる工夫もなされている。
- 学習コスト: 基本的な自動スキャンを実行するだけであれば数分で習得可能だが、サイト固有の認証設定の自動化や、Zestスクリプトの作成、Automation Frameworkの詳細なカスタマイズを行うためには一定の学習コストがかかる。
13. ベストプラクティス
- 効果的な活用法 (Modern Practices):
- Automation Frameworkの活用: 従来のような複雑なAPI呼び出しスクリプトを書くのではなく、Automation Frameworkを用いて設定をYAMLファイルで宣言的に管理し、CI/CDに組み込む方法が現在強く推奨されている。
- APIスキーマからのスキャン: OpenAPI（Swagger）やGraphQLのアドオンを利用して、APIの定義ファイルから直接正確にエンドポイントを読み込み、スキャンを行う。
- Client Spiderの利用: 複雑なSPAに対しては、従来のSpiderではなく最新のClient Spiderを利用して探索精度を向上させる。
- 陥りやすい罠 (Antipatterns):
- 未許可の本番環境へのスキャン: アクティブスキャンは実際の攻撃ペイロードを送信するため、データの破壊やパフォーマンス低下を引き起こす危険がある。許可されていない環境には絶対に実行してはならない。
- 認証設定の省略: 認証を通過できないままスキャンを行い、「脆弱性なし」と判断してしまう（実際にはログイン画面しかスキャンできていない）ケース。
14. ユーザーの声（レビュー分析）
- 調査対象: G2、Capterra等のソフトウェアレビューサイト、および技術系ブログやコミュニティ。
- 総合評価: 非常に高い支持を得ており、「最も人気のあるOSSセキュリティツール」として広く認知されている。
- ポジティブな評価:
- 「無料でこれだけのフル機能が使えるのは驚異的。商用ツールに劣らない。」
- 「CI/CDパイプラインへの統合が容易で、セキュリティテストの自動化に最適。」
- 「APIが強力で、どんなワークフローにも組み込める柔軟性がある。」
- ネガティブな評価 / 改善要望:
- 「機能が多すぎてUIが複雑。初心者にはどこから手をつけていいか分かりにくい。」
- 「自動スキャン時の誤検知（False Positives）がそれなりに発生するため、精査に手間がかかる。」
- 特徴的なユースケース:
- 新機能のMCP連携を利用して、AIエージェントに「このサイトの脆弱性をスキャンして」と自然言語で指示を出す最新のワークフローが始まっている。
15. 直近半年のアップデート情報
- 2026-06: OWASP PTKを用いた自動化機能がフェーズ2にアップデート。また、同月にZAPのアップデート情報まとめ（May 2026）が公開された。
- 2026-05: ZAPがMCPサーバーのファーストクラスのターゲットとしてスキャン可能になったことを発表。また、OWASP PTKを用いた自動化機能がフェーズ1として導入された。
- 2026-04: 「Generate Fix Prompt」機能が追加され、LLMを用いて脆弱性を修正するためのプロンプト（Vibe Coding Security Fixes）生成が容易になった。また、ZAP MCP Serverがリリースされ、AIアシスタントと自然言語でZAPを連携可能に。さらにOWASP PTKの検出結果をZAPのアラートとして統合できるようになった。Kubernetes環境でKROを用いてZAPを使用する方法も紹介された。
- 2026-03: 静的解析を利用してZAPのActive Scanを効率化するGuided ZAP Scansの手法が紹介された。また、ZAPのTLS解析エンジンとしてDeepVioletが導入された。
- 2026-02: カスタムブラウザおよびその環境設定のサポートが追加。また、GraphQLスキーマの循環参照（Circular Type References）の検出機能が強化され、ZAPのEncode/Decode/HashアドオンからCyberChefを利用可能になった。次期バージョンのZAP 2.18.0ではJava 21が必須になることも発表された。
- 2025-12: ZAP 2.17.0 リリース。アラートの重複排除（De-duplication）、システム全体に関わるアラート（Systemic Alerts）の分類、インサイト機能、およびディスク・メモリ不足時のエラーハンドリング改善が導入された。
- 2025-01: ZAP 2.16.0 リリース。Java 17が必須要件となり、ブラウザベースのDOM探索を行うClient Spiderの標準化、UIタブの分離機能、標準的なスキャンポリシー定義、Site Treeの出力とプルーニング機能などが追加された。
(出典: The ZAP Blog など)
16. 類似ツールとの比較
16.1 機能比較表 (星取表)
| 機能カテゴリ | 機能項目 | 本ツール (ZAP) | Burp Suite |
|---|---|---|---|
| 基本機能 | インターセプトプロキシ | ◎ 多機能で拡張性が高い |
◎ 業界標準。直感的に使いやすい |
| 自動化 | スキャンとCI/CD統合 | ◎ APIとAutomation Frameworkが強力 |
◯ Enterprise版で対応可能だが高コスト |
| 拡張性 | コミュニティプラグイン | ◎ 豊富な無料アドオン（Marketplace） |
◎ BApp Storeが非常に充実している |
| 非機能要件 | コストパフォーマンス | ◎ 完全無料のオープンソース |
△ 高度な機能には高価な有償ライセンスが必要 |
16.2 詳細比較
| ツール名 | 特徴 | 強み | 弱み | 選択肢となるケース |
|---|---|---|---|---|
| ZAP | オープンソースで無料のDASTツール。 | 完全無料で全機能が利用でき、CI/CDとの統合や自動化、API経由での制御に非常に優れている。MCP連携など最新技術への対応も早い。 | 高度なカスタマイズには学習コストがかかり、初学者にはUIが複雑に感じられることがある。 | CI/CDパイプラインに自動スキャンを組み込みたい場合や、予算に制限がある中で本格的なセキュリティテストを行いたい場合。 |
| Burp Suite | 業界標準の商用ペネトレーションテストツール。 | プロフェッショナルから支持される直感的なUIと、手動診断を強力に支援するツール群（Repeater, Intruder等）が充実。 | 有料版（Pro）のライセンス費用が高く、CI/CD統合などにはさらに上位のEnterprise版が必要になる。 | 専門のセキュリティエンジニアが詳細な手動診断（ペネトレーションテスト）を主に行う場合。 |
17. 総評
- 総合的な評価: ZAPは、完全無料のオープンソースでありながら、商用ツールと肩を並べるか、部分的にはそれ以上の機能を持つ非常に強力なWebアプリケーションセキュリティスキャナーである。特に自動化への親和性の高さは群を抜いており、DevSecOpsを推進する上で欠かせない業界標準のツールとなっている。
- 推奨されるチームやプロジェクト: 開発のCI/CDパイプラインにセキュリティテストを組み込みたい開発チームやQAチーム。また、予算をかけずに本格的な脆弱性診断を導入・内製化したいプロジェクトに強く推奨される。
- 選択時のポイント: 専門家による手動の高度なペネトレーションテストを主とする場合はBurp Suite（商用）が好まれることが多いが、自動化やコストを重視する場合、あるいはソフトウェア開発プロセス全体にセキュリティテストを統合したい場合はZAPが最良の選択肢となる。近年はClient Spiderの強化やAI（MCPサーバー）連携、外部ツール（OWASP PTK等）との統合も急速に進んでおり、モダンな開発環境における進化のスピードも大きな魅力である。