AeyeScan｜エーアイスキャンの評判・口コミ 全62件

改善してほしいポイント

欲しい機能・分かりづらい点
・スキャン実行のタスク化（スケジュール化）をしてほしい。
・いくつかのオプション機能を基本機能に取り込んでほしい。
その理由
・複数のスキャンを予定して順次実行させたい。
・有益な新規機能があるが、新たなオプション契約が必要となる。非常に有益、あるいは必須に近い機能は基本機能として拡充できればより望ましい。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

解決できた課題・具体的な効果
・ASMの足がかりになった。
・簡易に実行できるため、実行者（担当者）を増やすことができた。
・サイト運用担当者へのスキャン結果を適時共有できるようになった。
課題に貢献した機能・ポイント
・簡易なスキャン実行設定
・有効なスキャン機能
・レポート出力機能

検討者へお勧めするポイント

簡単に実行できるASMが求められるなら、まずは利用することが有効です。また、レポート出力についても、まずは有効に活用できると考えます。

改善してほしいポイント

我々は専門家ではございませんので、レポートの解説はとても助かっておりますが、修正が不要なのか必要なのかの判断ポイントがあるとさらに助かります。
全てのリスクを修正するに越したことはございませんが、改修も投資です。例えば、リスクがLowと表示されているものは、システムの前提によっては無視してよい場合もあります。改修しなくてよいものは改修したくないため、「〇〇のような前提が置ける場合は対応不要」といった解説があると大変助かります。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

良い点に記載した内容が最も貢献した点です。外部の専門企業に依頼していた高額な脆弱性診断を短期間に何度も行う必要が出てきていた状況を、安価に、必要なときに必要な箇所だけをセキュリティの専門知識がない者でも利用できるようにした点です。

検討者へお勧めするポイント

上場企業など、各種統制やISO監査でセキュリティ担保の証明を求められ、かつ高頻度でシステムを構築・改修する企業様にとっては、安価で非常に有用です。また、内製を行っている企業様には弊社ではまだ活用できていませんが、APIがありCI/CDに組み込んで自動化できる点は非常にお勧めできると思います。

改善してほしいポイント

欲しい機能・分かりにくい点
・スキャンに関する除外設定
・静的Webサイトや動的Webサイトにおける推奨設定
その理由
・除外設定内容を理解することが難しい。誰でも簡単に設定できるよう、改良していただきたい

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

解決できた課題・具体的な効果
・毎回、外部ベンダーに依頼していたWebアプリの脆弱性診断を行わずに、AeyaScanを使うことでコストメリットを得られた
課題に貢献した機能・ポイント
・運用者が設定できる自動スキャン機能など

検討者へお勧めするポイント

安価で導入でき、ベンダーによる手動スキャンの手間も省ける。

改善してほしいポイント

全体として満足度は高いものの、自動巡回機能およびスキャン精度については、今後さらなる改善を期待しています。特に、スキャン対象ページを自動収集する機能については、複雑なWebアプリケーションや動的な画面構成に対してより多くのページを漏れなく収集できるようになると、さらに使いやすくなると思います。また、スキャンについても現状は過検知や検知漏れが発生するため、複数回スキャンして結果を見比べることでカバーしていますが、脆弱性の検出精度についても継続的な向上を期待しています。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

私はセキュリティ担当者として、システム開発を行う組織へAeyeScanの利用を案内する立場です。従来は脆弱性診断結果の読み解きや対応方針の検討に専門知識が求められる場面がありましたが、AeyeScanでは脆弱性の内容や対策の方向性が分かりやすく整理されているため、開発担当者が主体的に対処を進めやすくなりました。また、スキャン対象から特定ページを除外したり、サーバへの時間あたりのリクエスト数を調整したりと、システムへの影響を考慮した運用ができる点も実務上役立っています。セキュリティ人材が限られる組織でも、継続的な脆弱性管理を推進しやすくなったと感じています。

検討者へお勧めするポイント

Webアプリケーションの脆弱性診断を内製化したい組織や、セキュリティ担当者が限られている組織に特にお勧めです。
サポートが充実しており、一般公開されているマニュアルも充実している、SaaS型のためインストール不要、専門知識が無くても利用しやすいといった点を評価しています。

改善してほしいポイント

・公式サポートのページが少し分かりにくいと利用会社のユーザーからも意見が挙がっています。基本がFAQ形式でポイントごとに掲載されており、マニュアルとしてまとまっていないため、分かりにくいという意見がある。その他、知りたい記事にたどり着けない、もう少し説明を詳しくしてほしいなどの声があります。
・過検知が少なくないため、脆弱性の説明に「こういう場合は過検知の可能性がある」といった条件別の信頼度も含めてもらえると、ベンダーにその可能性を踏まえた上で依頼でき、精度が高くなると思います。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

コストや操作のハードルが低いという優位性により、今まで脆弱性診断に着手できていなかったグループ会社でゼロからイチにする部分を一度に底上げできたと思います。また、診断を従来から行っている会社についても、コスト面の制約で少数のサイトしか手を付けられていなかった点に対して裾野を広げることができました。

検討者へお勧めするポイント

Webサイトを多く保有している会社や、グループ会社を取りまとめる役割の持ち株会社などは、非常に有効活用できると思います。課金体系としても、サイトの数が多いほど、恩恵を受けることができますし、アカウントや利用部署や組織が増えてもそれに追従する管理面の機能も実装しているため、十分カバーできるツールだと思います。

改善してほしいポイント

・二段階認証（MFA）や複雑なログイン手順への対応強化
基本機能は素晴らしいですが、MFA（多要素認証）が設定されている環境や、特殊なJavaScriptで遷移するページでは自動巡回が途中で止まってしまうことがあります。手動シナリオの設定でカバーできるものの、このあたりのアシスト機能がよりシームレスになるとさらに使いやすくなると思います。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・開発サイクルに組み込み、脆弱性の発見を促す。操作が簡単でいつでも実行できるため、開発の初期から中盤段階でこまめに診断を回せるようになりました。リリース前にクリティカルな内容が見つかっても、戻りでの余計な工数がかかることがなくなり、品質を保ちながら質の高いリリースを実現できていると実感できています。

検討者へお勧めするポイント

・セキュリティ専任担当がいないチームでも使いこなせる
専門的な知見がなくても、直感的なUIとAIの自動巡回のおかげで簡単に診断を開始できます。「セキュリティ専門のメンバーがいないから…」と導入を諦めているチームにこそ、まずはトライアルで操作感を試してみてほしいツールです。
・「外部委託（手動診断）のコストや速度感」に悩んでいる企業に最適
年1〜2回の診断だけで毎回高額な費用がかかっていたり、外部ベンダーのスケジュール待ちでリリースが遅れたりしている組織には特におすすめです。社内で手軽に高頻度のスキャンが回せるようになるため、圧倒的に費用対効果とスピード感が向上します。

改善してほしいポイント

さすがにベンダー手動診断を完全にカバーできるものではないようで、具体的には以下の点で差を感じました。
・指摘事項の説明が、診断対象から実際に検出した内容ベースの説明ではなく、検出した脆弱性ごとのテンプレ説明なこと
・上記に関連し、診断レポート自体にはリクエストやレスポンスの内容を含まないため、その点はログ確認が前提となる
・巡回結果をなぞって診断するため、同じ内容を重ねて登録できない造りのコンテンツは診断不可
・サイトとの相性により、誤検出が発生するケースがある
・マルウェアアップロード診断によりレポートやログにEICARテスト文字列が含まれるため、何箇所かを手で修正する羽目になった
上記を踏まえると、AeyeScanで対応できない診断範囲をベンダー手動診断でカバーする使い方になります。
ただそれでもコスパを考えれば十分ですし、継続的に機能アップデートを図るようなので、上記は徐々に改善するものとかるかもしれません。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

ベンダー手動診断にかけていたコストが数百万ほど削減できる見込みです。
今後利用者の拡大が見込めれば、将来的には同時診断セッション追加など、オプション機能の拡充も検討します。

改善してほしいポイント

・診断に時間を要すること
対象サイトのボリュームにもよるが、3日程度かかる場合もある。
・WebSocketを利用したSPAページへの対応
・自動巡回の精度向上
自動巡回は一定の精度があるが、複雑な構成のサイトでは、やはり人手による指示が必要で、工数がかかる。ただし、一度設定すれば流用できる仕組みがあるため、工数は一時的なものにとどまる。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・外部への委託に頼らず、いつでも診断できるようになった
・システム改修ごとに診断を回せる運用が可能になった
・手軽に診断できるため、開発メンバーが脆弱性と向き合う機会が増えた
・経験が浅いメンバーの教育効果も高い

検討者へお勧めするポイント

複数のプロダクトやサービスを継続的に開発・運用している企業にとって、「すべてを十分な頻度で守り切る」ことは大きな課題になりがちです。
外部ベンダーによる脆弱性診断は品質面では安心感がある一方で、コストや調整負荷、納期の制約から、どうしても診断対象や回数を絞らざるを得ないケースが多くなります。
当社ではAeyeScanを導入して脆弱性診断を内製化することで、この課題を解消しています。全プロダクトに対して定期的かつ高頻度に診断を実施できる体制を整え、システム改修のたびに確認を行う運用が定着しました。その結果、リリース前に重大な脆弱性を発見・対処でき、インシデントの未然防止につながっています。
「診断の質は落としたくないが、頻度と対象を広げたい」「外注任せでは限界を感じている」と考えているのであれば、AeyeScanは現実的かつ効果的な選択肢として強くお勧めできるツールです。

改善してほしいポイント

この製品を使うことにより、レベルの高い新たな課題を見つけることができました。
それは、「脆弱性管理が思っていたよりも難しく、管理が煩雑である」という課題です。
最近は、タスク管理についてのベストプラクティスが欲しいと思っています。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

これまでは、ベンダーや予算の都合で診断時期や診断範囲が左右される点に課題がありました。
また、診断水準も揃えることができていませんでした。
この製品を使うことにより、「弊社のWebアプリケーションが、ある一定のセキュリティ水準に達しているか否か」の定期診断（セキュリティ評価）を自分達のコントロール下で進められるようになりました。

検討者へお勧めするポイント

Webアプリケーション脆弱性診断の内製化を検討する際は、この製品を比較相手に含めることを強くお勧めします。
最初に、画面遷移図の機能に驚くと思います。

生成AI機能へのレビュー

5.0

上位者やシステムオーナーへ報告する場面では、エグゼクティブサマリが不可欠です。 この製品の生成AI機能には、工数削減と主観排除の点で本当に助かってます。