⚠ 自社、または契約で許可を得た環境にだけ使ってください（外部からのポートスキャン等は、相手の許可なく行うと不正アクセス禁止法などの問題になり得ます）。
掲載コマンドは参照だけ（読み取り専用）です。変更を伴う手順（
[変更]付き）は、本番でバックアップを取ってから実行してください。
入力した内容とチェック結果はお使いのブラウザ内（localStorage）にだけ保存され、外部には送信されません。
チェックリスト
対応表（OWASP / ATT&CK）
使い方・3つの枠組み
区分
優先度
状態
検索
OWASP Top 10:2025 → 該当チェック項目
MITRE ATT&CK v20（Enterprise）戦術 → 該当チェック項目
攻撃の流れの順に並べています。項目がない戦術は、主にWindows/Active Directory向けか、Webサーバー単体では対策しにくい領域です。
3つの枠組みの使い分け
| 枠組み | 何をまとめたものか | このチェックリストでの使い方 |
|---|---|---|
| OWASP Top 10:2025 | Webアプリの危険の「分類」上位10項目 | 診断・コードレビューの観点。顧客報告の章立て |
| CWE（MITRE） | 脆弱性の「種類」の辞書（例: CWE-79 = XSS） | 個々の指摘の正式名称。報告書・チケットに番号を書く |
| ATT&CK（MITRE） | 侵入した攻撃者の「行動」の辞書（戦術×技術） | サーバー運用の点検、改ざん時の調査手順、「なぜ必要か」の説明 |
ひとことで言えば、「診断はOWASP＋CWE、運用と事故対応はATT&CK」です。
おすすめの回し方
- 上部の「対象名」にサーバー名やサイト名を入れる。結果は対象ごとにブラウザ（localStorage）へ保存されます。
- まず 優先度「高」 だけに絞って、全サーバーを一巡する。
- NGはメモ欄に状況を書き、「結果をMarkdownでコピー」して作業記録や報告書に貼る。
- 四半期に1回、または大きなリリースの後に再点検する。
出典
- MITRE ATT&CK（v20。戦術・技術IDは 2026-10-25 にサイトで照合）
- OWASP Top 10:2025（カテゴリ名は 2026-10-25 にサイトで照合）
- CWE
免責事項
本チェックリストは一般的な点検の参考情報として無償で提供するものです。すべての脆弱性を発見できることや、実施結果を保証するものではありません。コマンドの実行は、ご自身が管理する、または許可を得た環境で、ご自身の責任で行ってください。法令やガイドラインは最新の公式情報をご確認ください。
解説記事: セキュリティ診断チェックリストを無料公開します（field.asia） ／ 診断・改修のご相談: 合同会社FIELD
注: v20では旧「Defense Evasion」が「Stealth（TA0005）」と「Defense Impairment（TA0112）」に分かれ、旧T1562（Impair Defenses）はマトリクスに見当たりません。ログ消去などはT1685系・T1690で表記しています。