ASM(Attack Surface Management)とは？必要性から方法まで解説

アタックサーフェスマネジメント(ASM)とは

アタックサーフェスマネジメント（Attack Surface Management）（以下、ASM）とはインターネットからアクセス可能なIT資産の情報を調査し、それらに存在する脆弱性などのリスクを継続的に検出・評価する取り組みです。
ASMは大きく4つのプロセスで構成されます。

1. 攻撃面の発見
   自社が保有するIPアドレスやホスト名の調査を行います。
2. 攻撃面の情報収集
   保有するIT資産に対してOS、ソフトウェア、バージョン情報、オープンなポート番号の調査を行います。
3. 攻撃面のリスク評価
   2の情報をもとに、セキュリティリスクの評価を行います。
4. リスクへの対応
   3の評価内容をもとにパッチの適用や対策の見送りなどの判断を行います。

初めての方でも使いやすいASMツール「GMOサイバー攻撃ネットde診断 ASM」

ASMが必要な背景

昨今、クラウドサービスやホスティングサービスの普及により、サービスをインターネット上に簡単に公開することができるようになりました。一方で、各サービス事業部門や海外子会社が独自にこれらを公開してしまうことで、セキュリティチームが存在を把握できていないWebサイトやネットワーク機器などのIT資産（シャドーIT）が増加しています。
セキュリティチームが存在を把握できていないIT資産は、セキュリティ対策が不十分な状態で放置されていることも多く、サイバー攻撃の入り口として狙われるリスクが高くなっています。

未把握の脆弱な外部公開資産による攻撃リスクが増加している背景から、自社が保有するIT資産を適切に把握し、継続的にリスク管理を行うASMが注目されています。

関連記事：サプライチェーンリスクとは？事故が起こる要因と対策を解説

シャドーIT対策にASMが有効な理由

シャドーITへの対策は、利用申請ルールの整備や従業員へのヒアリングといった内部の運用でカバーしようとしても限界があります。申請されなかった資産や、退職・組織変更で管理者が不在になった資産は、台帳にもヒアリング結果にも現れないためです。

ASMは、攻撃者と同じくインターネット側から自社のドメインやIPアドレスを起点に外部公開資産を探索します。社内の申告に依存せず、外から見えている資産をそのまま洗い出すため、担当部署が把握していないシャドーITも検出できます。

さらにASMは資産の発見だけでなく、検出した資産のリスク評価までを継続的に行います。新しく公開されたサービスや、放置されたまま脆弱性が公表されたシステムも、日次・週次の探索のなかで検知できるため、シャドーITを「見つけて終わり」にせず、管理下に置き続けることができます。

経済産業省がASM導入ガイダンスを公開

2023年5月29日に、経済産業省は「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」を取りまとめ、ASMの基本的な考え方や特徴、留意点などの基本情報とともに取り組み事例を紹介しています。

ASMを行う上での課題

ASMで行う攻撃面の発見・情報収集、リスク評価といったプロセスを手作業で行うには専門知識と多くの工数が必要です。
例えば攻撃面の発見・情報収集を考えると、手作業の場合、各事業部や子会社に対してヒアリングシートを通じて情報の集約を行うことが考えられます。
しかし実際に情報収集を始めると、ヒアリングをすべての部署にやり切れるのか、ヒアリング結果をすべてそのまま信じてよいのか、アップデートのたびに更新をしてもらえるかなど様々な課題が発生します。
手作業では多くの課題と工数が発生するため、ASM専用のツールを活用して実施することが一般的です。

関連記事：脆弱性管理とは？実施プロセスや運用のポイント、脆弱性診断との違いを解説

ASMツールのメリット

ASMツールを用いることで、外部公開IT資産の把握から脆弱性情報の収集、リスク評価までを効率的に行うことが可能です。ここでは主なメリットを3つに分けて解説します。

未把握の外部公開資産まで洗い出せる

手作業での資産管理は、各部署からの申告や台帳に依存するため、申告されなかったサイトや、担当者の異動・退職で管理者が不在になった資産は把握できません。

ASMツールは、ドメインやIPアドレスを起点に外部からアクセス可能な資産を探索します。社内の台帳に載っていない資産も検出対象となるため、これまで存在自体に気づけなかったサイトやネットワーク機器を可視化できます。

全社のリスク管理にかかる工数を抑えられる

特に事業部や各関係会社主導でサービスインフラの運営を行っている場合、手作業では攻撃面の把握やリスク評価に多大な工数が発生する場合もありますが、ツールを用いることで、作業負荷およびシステム負荷を抑えて全社的なリスク管理を行うことが可能です。

診断時の通信もシステムに負荷を与えない範囲で実施されるため、稼働中のサービスを止めることなく、対象を広げていくことができます。

資産の発見からリスク評価までを自動化できる

ASMツールを導入すると、資産の発見から脆弱性の検出、リスク評価、対応の優先度づけまでの一連のプロセスを自動で回せます。手作業では、各部署への棚卸しのヒアリング、結果の突き合わせ、脆弱性情報の照合をそのつど人手で行う必要がありますが、ツールであればドメインやIPアドレスを登録するだけで、定期的に同じサイクルが実行されます。

自動化の効果が大きいのは、管理対象が多い組織です。事業部や関係会社ごとにサイトが分散していると、手作業では診断できるのが一部の重要サイトに限られ、残りは年に数回しか確認できない状態になりがちです。ツールで全資産を対象に定期診断を回せば、対象を絞らずに全体のリスクを継続的に把握できます。

GMOサイバー攻撃ネットde診断 ASMも、登録したドメインに対して自動で定期診断を実行し、診断結果に脆弱性のリスク評価を表示するため、対策の優先度がそのまま確認できます。判断に迷う場合は、セキュリティコンサルタントによるアドバイザリーサービスで対応方針を相談できます。

内外のリスク可視化と判断の迅速化により、国内最大級のサービスを支える網羅的な脆弱性管理体制を構築

株式会社出前館

ASMと脆弱性診断、ペネトレーションテストの違い

ASMツールと同様にリスク評価を行う手法として脆弱性診断やペネトレーションテストが挙げられます。各手法の実施目的や対象を正しく理解して自社にとって適切な手法を選択しましょう。

脆弱性診断ツールの種類や選び方のポイント

ASMによる診断対象

ASMツールと脆弱性診断では検査対象とする資産に違いがあります。
脆弱性診断では、詳細/網羅的に脆弱性を特定することを目的として、対象とする資産に対して疑似的な攻撃など、システムに対して負荷を与える診断を行います。
サイトが落ちたり、ゴミデータが貯まったりなど運用に対して影響を与える可能性もあるため、既に把握済みの特定のシステムに対して、管理者と事前調整を行ったうえで診断することが一般的です。

一方でASMツールでは全社的なリスク管理を行うことを目的として、自社が保有する攻撃面の洗い出しから行い、未把握の資産も対象としてリスク評価を行います。管理者を特定できない資産に対してもリスク評価を行う場合があるため、システムに負荷を与えない範囲で診断をする必要があります。オープンポートの確認や、バージョン情報のチェックなど負荷の無い範囲で脆弱性情報の検出を行います。

関連記事：CSPM(Cloud Security Posture Management)とは？機能や選定のポイントを解説

ASMの診断頻度

ASMと脆弱性診断では、想定される診断の頻度も異なります。
ASMでは継続的な監視を目的として、日単位や週単位など比較的短いスパンで脆弱性の検出を行います。
一方、脆弱性診断では年単位や四半期単位、あるいは大きな機能リリースの後に1回実施するなど、
ASMと比較して長期的なスパンで実施されます。

日々新たな脆弱性が発見されるため、定期的な脆弱性診断を行い、常に最新の情報を把握する必要はありますが、すべての資産に対して高頻度で手動の脆弱性診断を行うと時間も費用も膨大にかかってしまいます。
日々の継続的な監視はASMツールなどを活用し、大まかなリスク評価を行ったうえで必要に応じて深堀の診断を手動で行うなど、活用方法の棲み分けが行われています。

ASM実施の流れ

1.攻撃面の発見

自社が保有するIPアドレスやホスト名の調査を行います。
まずは各事業部門や各事業会社へのヒアリング、デスクトップ調査を通じて、調査の起点となる情報を集めます。
次に、起点となる情報（ドメイン名やIPアドレス）をもとに、外部からアクセス可能なIT資産を探索します。Webサイト内の記載情報や、WHOIS情報、サーバ証明書の情報などをもとに関連するドメインやホスト名の一覧を取得します。

2.攻撃面の情報収集

保有するIT資産に対してOS、ソフトウェア、バージョン情報、オープンなポート番号など脆弱性の元となる情報の調査を行います。
調査時にはインターネット経由で対象のシステムにアクセスを行いますが、調査対象のシステムに影響を与えないよう、攻撃的な通信を行わないパッシブスキャンで実施されることが一般的です。

3.攻撃⾯のリスク評価

②で収集した情報をもとに、公開されている既知の脆弱性情報と照合することで脆弱性の有無を判断します。また脆弱性の影響度や悪用の可能性、対象のシステムの重要度をもとにリスクの大きさや優先度を評価します。

4.リスクへの対応

③の評価内容をもとに優先度をつけ、リスクへの対応を行います。
パッチの適用や最新バージョンへのアップデートなどのリスク対応を行う場合もあれば、重要度が低いシステムについてはリスクを受容し、対策を先送りするといった対応も考えられます。
対象システムの所有者と連携して進めることが一般的です。

最新脅威のスピーディな検知や英語対応で、海外拠点も含めたASM体制を構築

日揮コーポレートソリューションズ株式会社

ASMで発見される脆弱性の事例

ASMでは未把握のIT資産まで診断対象とすることから、これまで脆弱な状態で放置されていた資産が発見されることがあります。
当社の診断ツールで診断を行った際によく見つかる脆弱な状態で放置されていたIT資産の例を記載します。

よく見つかるセキュリティ対策が不十分なIT資産の例

• 既知の脆弱性が存在するWordpressプラグインの利用
• 公開されるべきではない情報を閲覧可能(データベース、設定、Gitなど)
• サポートが終了したソフトウェアの利用

攻撃面を適切に管理するためには、自社が保有するIT資産を把握し、リスク評価を行ったうえで最新のバージョンにアップデートを行う、不要なファイルは削除するなどの対応を継続的にまわしていく必要があります。

ASMツール / ASMサービスの選び方

ASMツールとASMサービスの違い

ASMを導入する際には大きく分けて以下の2つがあります。検出精度や運用負担、コスト面から自社に合う方法を選択することが重要です。

• ASMツール：ASMを行うためのツールを自社で導入する方法
• ASMサービス：専門家によるASM分析の結果について定期レポートを受ける方法

機能/コスト	ASMツール	ASMサービス
検出頻度	ツールにより自動でIT資産の検出や脆弱性の検知を行うため、高頻度に実施可能です。	専門家による分析を行うため、頻度は低くなります。
スケーラビリティ	自動でツールによる探索を行うため、大規模な組織でも柔軟に導入可能です。	専門家による分析を行うため、 リソース制約により短期間での結果確認が難しくなる場合があります。
検出精度	機械的にIT資産や脆弱性の発見を行うため、過検知・誤検知が多くなる傾向があります。	発見されたIT資産や脆弱性に対して専門家による精査を行うため、過検知や誤検知を低減することが可能です。
コスト	サービスと比べて金銭的なコストを抑えて導入可能です。一方で、ツールの運用に対してサービスと比較して運用工数が増加する場合があります。	ツールと比べて金銭的なコストが高くなる傾向があります。ただし、検出結果に対するトリアージなど運用面での負担が軽減される場合があります。

ASMツールを提供している事業者が、オプションとして専門家による分析を行う場合や、ASMサービスを提供している事業者が利用しているASMツールを代理店として販売している場合もあります。

ASMツールを選ぶときの5つの比較軸

比較軸	確認するポイント
検出範囲	ドメインからサブドメインまで自動で探索できるか。 プラットフォーム・Webアプリ・CMSのどこまでを診断対象とするか。
診断頻度	定期診断が自動で実行されるか。任意のタイミングで実行できるか。
対応言語	管理画面と診断結果が日本語か。翻訳のわかりにくさが運用の負担にならないか。 海外拠点も対象にしている場合、英語なども対応しているか。
サポート	検出結果のトリアージや対応方針を相談できるか。導入時の設定支援があるか。
価格	資産数に応じた課金か、定額か。資産が増えたときに費用がどう変わるか。

組織に最適なASMソリューションの導入を行う上では、それぞれの事業者が得意な領域を確認し、検出精度や運用負担、金銭的なコストなど多角的に評価することが重要です。

初めての方でも使いやすい国産ASM ネットde診断 ASM

GMOサイバー攻撃ネットde診断 ASMは、前述の5つの比較軸をふまえて設計された国産のASMツールです。ここでは、実際にどこまでできるのかを軸ごとに説明します。

ボタン1つで外部公開資産を棚卸しできる

社名やドメイン、IPアドレス、キーワードなどを起点に、関連するIT資産を自動で収集・可視化します。登録済みドメインに紐づくサブドメインの洗い出しにも対応しているため、事業部が独自に立ち上げたサイトや、忘れられた検証環境も検出対象になります。

診断範囲はプラットフォーム（ポートスキャン、サービスやOSの脆弱性、SSL/TLSの設定）、Webアプリケーション（クロスサイトスクリプティング、SQLインジェクションなど）、CMS（WordPress、EC-CUBE）に及びます。サーバー側の設定不備とサイト側の脆弱性を、同じ画面で確認できます。

自動の定期診断でリスクを評価する

任意のスケジュールを設定すれば、定期診断が自動で実行されます。日次から月次まで頻度をカスタマイズでき、任意のタイミングでの手動実行も可能です。重大な脆弱性が見つかった場合はメールで通知されます。

診断結果は、グループ全体／ドメイン単位でA〜Eの5段階で評価されます。膨大な資産を前にしても、どのドメインから対応すべきかが一覧で判断できます。ドメインを部署や課ごとにグルーピングして権限を設定できるため、情シスに一極集中させず、事業部単位で診断・対応を進める運用も可能です。

診断項目には、報告されている約30万件のCVE（脆弱性識別番号）が設定されており、毎月500〜1,000件の検知パターンが追加されています。新たな脅威が公表されても、診断項目の更新を待つ必要がありません。

管理画面やレポートが日本語と英語に対応

ASMツールは海外製が多く、言語の障壁や不自然な翻訳が運用の妨げになることがあります。ネットde診断 ASMは国産ツールのため、管理画面もレポートも自然な日本語で確認できます。
あわせて、アカウント設定から日本語と英語を切り替えることが可能です。画面表示だけでなく発行されるレポートにも設定した言語が適用されるため、海外拠点や海外子会社の担当者にそのまま結果を共有できます。国内で全体を統括しながら、各拠点には現地で読める形で対応を依頼するといった運用が可能です。

自走と伴走の2プランから選べる

自走プラン（月額40,000円〜） は、ツールのみを利用するプランです。社内に専任担当がいて、診断後の改善フローが確立している組織に適しています。

伴走プラン（月額120,000円〜） は、定例MTGによるアドバイザリーサービスが付くプランです。セキュリティ専門家が同席し、診断結果の共同レビュー、前回診断からの変化の整理、優先順位づけと改善方針の明確化、社内運用への落とし込みまでを一緒に進めます。診断結果をどう活かせばよいかわからない、社内説明や改善推進まで支援してほしい、という組織に向いています。

530万件超の実績と、診断現場の知見

ネットde診断 ASMは、これまでに530万件を超えるスキャンを実施してきました。多様な環境に対して診断を重ねてきたことで、実運用に耐える精度と安定性を確保しています。

診断項目には、ホワイトハッカーによる脆弱性診断サービスで実績のある項目を採用しています。GMOサイバーセキュリティ byイエラエが発見した未公開のゼロデイや、緊急度・影響度の高い脆弱性も、随時診断項目として追加されます。攻撃者がどこを狙うかを診断の現場で見てきた知見が、そのままツールの検知ロジックに反映されている点が、ツール専業の事業者との違いです。

無料トライアルもご用意しています。実際の画面と診断結果をご覧いただいたうえでご判断いただけますので、ぜひお気軽にお問い合わせください。