ホワイトハッカーのセキュリティツール9選　Shodan・Nmap・Burp Suite・Wiresharkなどの概要と公式ダウンロード方法

ホワイトハッカーやペネトレーションテスターが利用するセキュリティツールには、ネットワーク探索、パケット解析、Webアプリケーション診断、脆弱性スキャン、エクスプロイト検証、リバースエンジニアリングなど、用途ごとに異なる種類があります。

英国National Cyber Security Centre（NCSC）は、ペネトレーションテストを「認可されたテスト」と位置づけ、攻撃者と同じツールや技術を使ってITシステムの安全性を確認するものと説明しています。米Cybersecurity and Infrastructure Security Agency（CISA）も、組織向けに脆弱性スキャン、Webアプリケーションスキャン、リモートペネトレーションテストを提供しています。

つまり、NmapやBurp Suite、Metasploitのようなツールそのものが「攻撃用」「防御用」と明確に分かれているわけではありません。対象システムの所有者から明示的な許可を得たうえで、決められた範囲・時間・方法で利用することが前提です。

本稿では、英国・米国の政府機関や各開発元の一次情報を基に、ホワイトハッカーや企業のセキュリティ担当者が押さえておきたい代表的な9つのツールについて、用途、無料版の有無、公式な入手方法、利用時の注意点を整理します。具体的な侵入手順や攻撃コードは扱いません。

ホワイトハッカー向けセキュリティツールのサマリー

• 英国NCSCはペネトレーションテストを、対象組織から認可を受けたうえで実施するセキュリティ検証と定義しています。
• 米CISAも脆弱性スキャン、Webアプリケーションスキャン、リモートペネトレーションテストを防御サービスとして提供しています。
• Shodanはインターネット上に公開されている機器やサービスを検索し、自社の外部露出や公開資産を把握するために利用できます。
• Nmapはネットワーク上のホストや公開サービスを把握するための代表的なネットワーク探索ツールです。
• Wiresharkはネットワークパケットを取得・解析し、通信異常やプロトコルの挙動を調べる用途で利用されます。
• Burp Suite Community EditionはWebアプリケーションのHTTP/HTTPS通信を確認する手動診断向けツールです。
• ZAPは無料・オープンソースのWebアプリケーション診断ツールで、パッシブスキャンとアクティブスキャンを備えています。
• Nessus Essentialsは脆弱性評価を学ぶ個人・学生など向けの無償版ですが、非商用利用に制限されています。
• Metasploit Frameworkは既知脆弱性が実際に悪用可能かを認可環境で検証するために使われるオープンソースのフレームワークです。
• Ghidraは米国家安全保障局（NSA）が公開するソフトウェアリバースエンジニアリング基盤で、マルウェア解析やバイナリ調査に利用できます。
• Kali Linuxは単一ツールではなく、ペネトレーションテストやフォレンジックに必要な多数のツールをまとめたLinuxプラットフォームです。
• セキュリティツールは非公式ミラーや第三者の再配布サイトから取得せず、公式サイト・公式GitHubから入手することが重要です。
• ISOやインストーラーを配布する製品では、SHA-256、GPG署名、コード署名などを確認し、改ざんされたツールを実行しない運用が必要です。

ツール	主な用途	無料利用	主な対応環境	推奨する入手方法
Shodan	外部公開資産・インターネット露出の把握	Web版あり、CLI/APIはアカウント・プランに応じて利用	Web、CLI、API	Shodan公式サイト／公式Pythonパッケージ
Nmap	ホスト・ポート・サービスの把握	無料・OSS	Windows、macOS、Linux	Nmap公式Download
Wireshark	パケット取得・通信解析	無料・OSS	Windows、macOS、Linux	Wireshark公式Download
Burp Suite Community Edition	Web通信の確認・手動診断	無料版あり	デスクトップOS	PortSwigger公式Download
ZAP	Webアプリ診断・プロキシ	無料・OSS	Windows、macOS、Linux、Docker	ZAP公式Download
Nessus Essentials	脆弱性スキャン	非商用向け無償版	複数OS	Tenable公式登録ページ
Metasploit Framework	脆弱性の実証・検証	無料・OSS	Windows、macOS、Linux	Metasploit公式Nightly Installer
Ghidra	リバースエンジニアリング	無料・OSS	Windows、macOS、Linux	NSA公式GitHub Releases
Kali Linux	セキュリティ検証用OS・ツール環境	無料	PC、VM、ARM、WSL、Cloudなど	Kali公式Get Kali

ホワイトハッカー向けツールは「認可された検証」が前提

NCSCはペネトレーションテストについて、攻撃者が使用するものと同じツールやテクニックを利用し、ITシステムのセキュリティを確認する手法と説明しています。

ただし、NCSCの定義で重要なのが「authorised」、つまり認可されていることです。

自社システム、自社が管理する検証環境、契約によってテストを許可された顧客環境などが対象であり、インターネット上で見つけた第三者のサーバーを勝手にスキャン・診断してよいという意味ではありません。

NCSCはまた、ペネトレーションテストを脆弱性管理そのものの代替とは位置づけていません。日常的な資産管理、パッチ管理、脆弱性スキャンを行い、そのプロセスが十分に機能しているか確認する手段としてペネトレーションテストを利用する考え方を示しています。

脆弱性スキャンについても、NCSCはネットワークやWebアプリケーションの検査を定期的に行い、検出した問題を脆弱性管理プロセスの中で修正・再確認することを推奨しています。

セキュリティ対策Labでは、ホワイトハッカーの役割やペネトレーションテスター、フォレンジックアナリストなどの違いを「ホワイトハッカーとは？ハッカーとの違いや活用事例について紹介」で解説しています。

Shodan｜インターネット上から見える自社資産を把握

公式入手先：

• Shodan公式サイト
• Shodan CLIの公式インストール手順 – Shodan Help Center

Shodanは、インターネットへ直接接続されている機器やサービスを検索するための検索エンジンです。

GoogleやBingがWebページの内容を検索するのに対し、Shodanはサーバー、ネットワーク機器、IoT機器などが外部へ公開しているサービス情報を収集し、検索できるようにしています。

Shodanによると、収集データの中心は「banner」と呼ばれるサービスのメタデータです。サーバーソフトウェア、公開ポート、サービスが返す情報などを基に、インターネットからどのように見えているかを確認できます。

企業のセキュリティ担当者にとっては、自社が把握していない外部公開サーバー、古いサービス、意図せず公開された管理画面などを確認するExternal Attack Surface Management（EASM）の補助として利用できます。

Nmapとの違いは、誰がスキャンを行うかです。

Nmapは利用者自身が対象ネットワークへアクセスして調査します。一方、Shodanの通常検索では、Shodanがあらかじめ収集したインターネット観測データを検索します。

このため、まずShodanで「外部からどのように見えているか」を確認し、その後、自社が管理するIPアドレスや検証許可を得た環境についてNmapなどで詳細を確認する、といった使い分けができます。

ShodanはWebブラウザから利用できるため、基本的な利用だけであればソフトウェアをダウンロードする必要はありません。

CLIを利用する場合は、Shodan公式Help CenterがPythonパッケージとして提供しています。Python環境で公式パッケージをインストールし、自身のShodanアカウントのAPIキーで初期設定します。

公式のインストール例は次の通りです。

pip install -U --user shodan

CLIやAPIでは検索結果の取得、統計処理、自社ネットワークの監視などを自動化できます。利用可能な機能やクレジットはアカウント・契約内容によって異なります。

Shodan Monitorでは、自社ネットワークの外部露出を継続的に監視し、インターネットから見えるサービスに変化があった場合の把握にも利用できます。

注意したいのは、Shodanで検索結果に表示された第三者システムが「診断してよい対象」になるわけではないことです。

公開情報を検索することと、その対象へ追加スキャン、認証試行、脆弱性検証を行うことは別です。詳細な検証は、自社資産または明示的に許可を得た環境に限定する必要があります。

Nmap｜ネットワーク上の資産・ポート・サービスを把握

公式ダウンロード：

• Download Nmap – Nmap Project

Nmap（Network Mapper）は、ネットワーク上に存在するホストや公開ポート、稼働しているサービスなどを調査するためのオープンソースツールです。

企業のセキュリティ運用では、外部公開しているサーバーの棚卸し、不要なポートが公開されていないかの確認、想定していない機器がネットワーク上に存在しないかの調査などに利用できます。

NCSCの脆弱性スキャンガイダンスでも、組織が保有する資産を把握する方法として、無償で利用できるポートスキャンツールの活用に触れています。

NmapはWindows、macOS、Linux向けの配布物を公式サイトから入手できます。

ダウンロード時はNmap公式Downloadページを利用します。Windows用バイナリ、macOS用パッケージ、Linux RPM、ソースコードが用意されています。

NmapはリリースファイルのGPG署名なども提供しています。セキュリティ検証に使う端末へ導入する場合、非公式ミラーからインストーラーを取得せず、公式配布物であることを確認することが重要です。

用途としては初期の資産把握に向いていますが、「ポートが開いている＝脆弱」という意味ではありません。発見したサービスを脆弱性管理台帳や構成管理情報と照合し、不要な公開か、最新状態かを確認する使い方が基本です。

Wireshark｜ネットワーク通信をパケット単位で解析

公式ダウンロード：

• Download Wireshark – Wireshark Foundation

Wiresharkはネットワークパケットを取得・解析するためのオープンソースツールです。

通信障害の調査、想定外の外部通信の確認、DNSやTLS、HTTPなど各プロトコルの挙動確認、マルウェア解析時の通信分析など、ネットワークとセキュリティの双方で利用されています。

脆弱性を直接「攻撃する」ツールというより、通信で何が起きているかを確認する分析ツールです。

Wireshark公式Downloadページでは、Windows、macOS、Linux向けの配布物が提供されています。

公式ユーザーガイドによると、WindowsとmacOSの公式インストーラーにはWireshark Foundationのコード署名が付与されています。各リリースにはハッシュとGPG署名を含むSIGNATURESファイルも用意されています。

2026年8月末時点のStable Releaseは4.6.8です。

Wiresharkでは取得したパケットに認証情報、Cookie、個人情報、内部IPアドレスなどの機密情報が含まれる場合があります。診断結果だけでなく、取得したpcapファイル自体を機密情報として管理する必要があります。

Burp Suite Community Edition｜Webアプリの手動診断で定番

公式ダウンロード：

• Burp Suite Community Edition – PortSwigger

Burp Suiteは英国PortSwiggerが開発するWebアプリケーションセキュリティテスト製品です。

無料のCommunity Editionでは、HTTP/HTTPS・WebSocketのプロキシと通信履歴、Repeater、Decoder、Sequencer、Comparerなど、Web診断の基本となる手動ツールを利用できます。

ブラウザとWebアプリケーションの間の通信を確認し、リクエストとレスポンスの内容、Cookie、ヘッダー、パラメータ、API通信などを調査する用途に向いています。

注意点として、Community EditionにはProfessional版の自動Web脆弱性スキャナーは含まれていません。無料版は手動診断を学ぶための基本ツールという位置づけです。

ダウンロードはPortSwiggerの「Burp Suite Community Edition」公式ページから行います。公式ドキュメントでは、Community Editionを選択してインストーラーを取得し、インストーラーを実行する方法が案内されています。

Webアプリケーション診断では、対象URLだけでなく、テスト対象のドメイン、API、アカウント、実行可能な操作、禁止する操作などを事前にスコープとして決める必要があります。

本番環境のデータを変更する可能性があるテストでは、ステージング環境や専用の検証アカウントを利用する方が安全です。

ZAP｜無料で使えるWebアプリケーション診断ツール

公式ダウンロード：

• Download ZAP – ZAP

ZAPは無料・オープンソースのWebアプリケーションセキュリティテストツールです。

ブラウザとWebアプリケーションの間に入るプロキシとして通信を確認できるほか、パッシブスキャン、クローリング、アクティブスキャン、APIや自動化機能を備えています。

Windows、Linux、macOS向けインストーラーに加え、Dockerイメージも公式に提供されています。

2026年8月末時点の正式版はZAP 2.17.0です。

ZAPの公式Downloadページでは、現在のリリースが未署名であることも明記されています。そのため、公式GitHub Releaseに掲載されているチェックサムを確認する運用が重要です。

Windows、Linux、Cross Platform版ではJava 17以上が必要で、macOS版にはJavaが同梱されています。

ZAP公式ドキュメントでは、アクティブスキャンは対象へ実際に攻撃リクエストを送るため、許可のない環境では使用しないよう明確に警告しています。

初めて利用する場合や本番に近い環境では、通信内容を変更しないパッシブスキャンやSafe Modeから始め、アクティブな検証は明示的に許可されたテスト環境へ限定する運用が適しています。

Nessus Essentials｜既知脆弱性や設定不備をスキャン

公式ダウンロード／登録：

• Nessus Essentials – Tenable

Nessusは米Tenableが提供する脆弱性スキャナーです。

OSやミドルウェア、ネットワークサービスなどを調べ、既知脆弱性、古いソフトウェア、設定不備などを発見する用途で利用されます。

Nmapが「何が存在し、どのサービスが開いているか」を把握することに強いのに対し、Nessusは発見した資産がどの脆弱性や設定上の問題を抱えている可能性があるかを評価する用途に向いています。

Tenableは無償版としてNessus Essentialsを提供しています。

ただし、Nessus Essentialsは個人、学生、教育などの非商用利用向けです。企業内の商用診断やコンサルティング業務では、Nessus Professionalなど適切なライセンスを確認する必要があります。

入手時はTenable公式のNessus Essentialsページで登録を行い、案内に従ってダウンロード・インストールします。

脆弱性スキャナーは検出結果に誤検知を含む場合があります。NCSCもスキャナーの選定基準として、精度、認証付きスキャンの対応、レポート、対象資産、スキャンの安全性などを確認するよう求めています。

スキャン結果をそのまま「脆弱性確定」とせず、対象システムのバージョンやベンダーアドバイザリと照合して判断する必要があります。

Metasploit Framework｜認可環境で脆弱性の実証を行う

公式ダウンロード：

• Get Metasploit – Rapid7
• Nightly Installers – Metasploit Documentation

Metasploit Frameworkは米Rapid7が管理するオープンソースのペネトレーションテストフレームワークです。

既知脆弱性に対する多数の検証モジュールを備えており、「スキャナーが脆弱と判定した問題が、実際にどの程度悪用可能なのか」を認可されたラボやテスト環境で実証する用途に使われます。

このため、本稿で紹介するツールの中でも特にデュアルユース性が高く、実行範囲の管理が重要です。

Rapid7の公式ドキュメント自身も「permission to hack」を前提としており、許可のないシステムへの利用を想定していません。

Metasploit FrameworkはMetasploit公式Downloadページから公式ドキュメントのNightly Installersへ進んで入手できます。

公式Nightly InstallerはWindows 64-bit、macOS、Linux向けに提供され、RubyやPostgreSQLなどの依存関係も含まれます。Kali LinuxにはMetasploit Frameworkがプリインストールされています。

Metasploitは攻撃コードに近い検証コンポーネントを含むため、Windowsのアンチウイルス製品などが公式配布物を検知する場合があります。Rapid7もこの点を公式ドキュメントで説明しています。

企業環境ではセキュリティ製品を一律に無効化するのではなく、隔離した検証用VMやネットワークを用意し、必要な例外設定を変更管理の対象として運用することが重要です。

Ghidra｜マルウェアやバイナリのリバースエンジニアリング

公式ダウンロード：

• Ghidra Releases – National Security Agency

Ghidraは米国家安全保障局（NSA）のResearch Directorateが開発・保守するソフトウェアリバースエンジニアリング（SRE）フレームワークです。

Windows、macOS、Linux上で、コンパイル済みプログラムの逆アセンブル、デコンパイル、グラフ分析などを行えます。

ホワイトハッカーやセキュリティアナリストの用途では、マルウェアの挙動解析、未知バイナリの構造確認、自社製品の脆弱性調査、インシデント対応時の不審ファイル分析などに利用できます。

公式配布物はNSAのGitHub「NationalSecurityAgency/ghidra」のReleasesから入手します。

公式READMEでは、64-bit JDK 21を導入し、ReleasesのAssetsからghidra_<version>_<release>_<date>.zip形式の公式配布ファイルを取得するよう案内しています。「Source Code」と表示された自動生成アーカイブは実行用パッケージではありません。

2026年8月にはGhidra 12.1.3が公開され、GitHub ReleaseにはSHA-256も掲載されています。

Ghidraで未知のマルウェアや不審バイナリを解析する場合、解析端末を業務ネットワークから分離し、サンプルを不用意に実行しないことが重要です。

Kali Linux｜多数のセキュリティツールをまとめた検証プラットフォーム

公式ダウンロード：

• Get Kali – Kali Linux

Kali Linuxは単独の診断ツールではなく、ペネトレーションテスト、フォレンジック、リバースエンジニアリングなどに使うツールをまとめたLinuxプラットフォームです。

Nmap、Wireshark、Burp Suite、Metasploit Frameworkなど、多数のセキュリティツールをあらかじめ利用できる環境として提供しています。

Kali公式サイトは、Kaliを単なるツール集ではなく、セキュリティ専門家向けの「platform」と位置づけています。

公式Get Kaliページでは、Installer ISO、Live、VMware・VirtualBox向けのPre-built VM、ARM、WSL、Cloud、Containerなど複数の配布形態を選択できます。

初学者や企業内の検証用途では、既存PCのOSを置き換えるより、スナップショットを取得できる仮想マシンで環境を分離する方法が扱いやすいケースがあります。

Kali Projectは、Kali Linuxを非公式サイトからダウンロードしないよう強く警告しています。偽のISOにマルウェアや不正ツールが組み込まれる可能性があるためです。

公式ダウンロードページから取得した後、公開されているSHA-256や署名を照合してから利用することが推奨されています。

2026年8月末時点の公式Point ReleaseはKali Linux 2026.2です。

目的別に選ぶと「全部入れる」必要はない

ホワイトハッカー向けと呼ばれるツールは数多くありますが、すべてを一度に導入する必要はありません。

企業の情報システム部門が外部公開資産を確認したい場合は、Nmapと脆弱性スキャナーから始める方が実務的です。

Webアプリケーション開発チームであれば、Burp Suite Community EditionやZAPを使い、HTTP通信やWebアプリケーションの問題を確認する方法があります。

SOCやインシデント対応ではWireshark、マルウェア解析ではGhidraが中心になります。

ペネトレーションテスターが実際の悪用可能性まで確認する場合はMetasploit Frameworkなどを利用しますが、その段階ではテスト範囲、停止条件、担当者、実施時間、影響時の連絡先などを決めたうえで進める必要があります。

やりたいこと	向いているツール
インターネット上から見える自社資産を把握	Shodan
ネットワーク上の資産を把握	Nmap
パケット・通信を解析	Wireshark
Web通信を手動で確認	Burp Suite Community Edition
Webアプリを自動・手動で評価	ZAP
OS・サーバーの既知脆弱性を確認	Nessus
脆弱性が実際に悪用可能か検証	Metasploit Framework
バイナリ・マルウェアを解析	Ghidra
セキュリティ検証環境をまとめて用意	Kali Linux

セキュリティツールのダウンロードで注意すべき3点

セキュリティツール自体がサプライチェーン攻撃の入口になる可能性もあります。

特にKali Linux、Ghidra、Wireshark、Nmapのように実行権限の高いツールをインストールする場合、配布元の確認が重要です。

第一に、検索結果から第三者のダウンロードサイトへ移動せず、開発元の公式ページから取得します。

第二に、公式サイトがSHA-256、GPG署名、コード署名を提供している場合は検証します。Kali Linuxは公式ドキュメントでISOのSHA-256・署名検証を案内し、Wiresharkも署名済みインストーラーやGPG署名付きSIGNATURESファイルを提供しています。

第三に、検証環境と業務環境を分離します。ペネトレーションテスト用ツールには、通常のエンドポイントでは不要なネットワーク解析や脆弱性検証機能が含まれます。専用VM、専用端末、検証VLANなどを用意し、利用者と権限を限定した方が管理しやすくなります。

情報システム・セキュリティ部門への示唆

企業がホワイトハッカー向けツールを導入する際は、「どの製品を使うか」より先に「何を確認したいのか」を決める必要があります。

NCSCは脆弱性スキャンについて、まず資産を特定し、対象を論理的なグループへ分け、インフラ用・Webアプリケーション用など適切な種類のスキャナーを選定するよう推奨しています。

また、自動スキャンだけでは手動のペネトレーションテストと同じ深さには到達しません。自動ツールで一般的な脆弱性を継続的に確認し、人間によるテストは認証・認可、複雑な業務ロジック、複数の弱点を組み合わせた影響確認などへ集中させる方が効率的です。

CISAもCyber Hygiene Servicesとして継続的な外部資産・脆弱性スキャンやWebアプリケーションスキャンを提供しており、単発の侵入テストだけではなく継続的な可視化と修正が防御の基本になります。

社内でツールを利用する場合は、少なくとも対象資産、許可者、実施者、実施期間、禁止操作、データの取り扱い、停止条件、緊急連絡先を事前に定める必要があります。

とくにZAPのアクティブスキャンやMetasploit Frameworkのように対象システムへ実際の負荷や状態変更を発生させる可能性があるツールは、本番環境へ直接実行するのではなく、検証環境で安全性を確認したうえで利用することが重要です。

「ツールを導入したこと」自体をセキュリティ対策の完了とせず、検出、トリアージ、修正、再スキャンまでを脆弱性管理プロセスとして運用する必要があります。

出典

• Penetration testing – UK National Cyber Security Centre
• Vulnerability scanning tools and services – UK National Cyber Security Centre
• CHECK penetration testing – UK National Cyber Security Centre
• Cyber Hygiene Services – Cybersecurity and Infrastructure Security Agency
• What is Shodan? – Shodan Help Center
• Installation – Shodan Help Center
• Network Monitoring – Shodan Help Center
• Download Nmap – Nmap Project
• Download Wireshark – Wireshark Foundation
• Wireshark User’s Guide: Where To Get Wireshark – Wireshark Foundation
• Burp Suite Community Edition – PortSwigger
• Download and install Burp Suite – PortSwigger
• Download ZAP – ZAP
• Getting Started – ZAP
• Nessus Essentials – Tenable
• Get Metasploit – Rapid7
• Nightly Installers – Metasploit Documentation / Rapid7
• Ghidra Software Reverse Engineering Framework – National Security Agency
• Ghidra Releases – National Security Agency
• Get Kali – Kali Linux
• Downloading Kali Linux – Kali Linux Documentation
• ホワイトハッカーとは？ハッカーとの違いや活用事例について紹介 – セキュリティ対策Lab