グランセキュノロジーのASM（Attack Surface Management：攻撃対象領域管理）サービス「Mitokude .pub」は、インターネットからアクセス可能な企業のIT資産とセキュリティリスクを可視化するサービスだ。Basicプランは1FQDN（完全修飾ドメイン名）あたり月額5000円で利用できる。自社のFQDNを入力すると、ドメインやIPアドレス、公開サーバーなどの外部公開資産を発見し、脆弱性や設定上のリスクを確認できる。
事案の詳細
Mitokude .pub（ミトクデ ドットパブ）は、インターネット上に公開された企業のIT資産を対象とするASMサービスだ。自社のドメインを入力すると、インターネットからアクセス可能なドメインに関連するネットワーク資産をスキャンし、外部から見える攻撃対象領域を把握できる。
スキャンでは、ドメイン、IPアドレス、公開サーバーなどのIT資産を発見・可視化するほか、脆弱性やセキュリティリスクを確認する。デモンストレーションでは、サブドメインで運用していたものの管理されなくなったキャンペーンサイトや、CMSなどで使用されているシステムの脆弱性が検知された。
元記事のタイトルでは、VPNの設定不備も確認対象として挙げられている。ただし、VPNの具体的な製品名、設定項目、検知条件、検知された件数などの詳細は現時点で不明だ。
サービスは、技術的な問題の検知だけでなく、リスクを管理し、経営層が判断しやすい形で評価することも特徴としている。Mitokude .pubの料金はBasicプランが1FQDNあたり月額5000円、Advancedプランが1FQDNあたり月額5万円で、AdvancedプランではFQDN、Webアプリのフル監視、監視設定などが対象となる。Chaos engineeringオプションは月額2万5000円から追加できる。
Mitokude .pubの提供開始時期は2025年6月とされている。運営会社はグランセキュノロジーで、サービスの運用サーバーは国内で完結する純国産サービスとして開発されている。
影響と背景
企業では、過去に作成したキャンペーンサイトやサブドメイン、管理者が把握していない公開サーバーなどが外部に残り、脆弱性を抱えたままになることがある。Mitokude .pubは、ドメインを起点に外部からアクセス可能な資産を発見し、攻撃対象領域とリスクを継続的に把握するための仕組みとして位置付けられる。
特に、CMSなどの利用システムに既知の脆弱性が残っている場合や、公開資産の管理担当者が不明確な場合は、攻撃の足掛かりとなる可能性がある。外部公開資産の棚卸しと脆弱性の確認を継続することで、見落としの低減や対応優先度の判断を支援できる。
なお、Mitokudeには外部公開資産を対象とする「Mitokude .pub」に加え、社内ネットワーク上のPC、スマートフォン、NAS、複合機などを対象にする「Mitokude .local」もある。.localでは、接続された機器のOSバージョンなどを確認し、既知の脆弱性がある場合に警告する。
対策・今後の展望
- 公開資産の棚卸し：自社のFQDN、サブドメイン、IPアドレス、公開サーバー、Webアプリなどを一覧化し、所有者と管理状況を定期的に確認する。
- 脆弱性と設定不備の早期発見：CMSや公開サーバーの既知の脆弱性、VPNなどの設定不備を継続的に点検し、影響度と緊急度に応じて修正する。
- 不要資産の停止：管理者や利用目的が不明なキャンペーンサイト、サブドメイン、公開サービスを確認し、不要なものは停止または公開範囲を見直す。
- 経営判断につながる可視化：検知した資産や脆弱性を、事業への影響、対応期限、必要なリソースとともに整理し、経営層と共有する。
- 外部と内部の両面で確認：インターネットから見える資産だけでなく、社内ネットワークに接続された機器やシャドーITも対象にして、管理対象の抜け漏れを確認する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが中小企業の診断やMDR運用を支援する現場では、「把握していない外部公開」が後から見つかることが少なくない。特にVPNや公開サーバーは、設定の変更履歴が追えず、想定外の入口として残っているケースが目立つ。
【平易な解説】例えるなら、会社の建物に「誰が使っているか分からない裏口」が増えている状態です。つまり、ドメインから外から見える範囲を確かめ、鍵の弱さ（脆弱性）や閉め忘れ（設定不備）を見つけることが、被害を遠ざける第一歩になります。
【今週中にできること】まず自社ドメイン配下で運用しているWebやVPNの担当者を確認し、把握している公開先の一覧を作ってください。次に、変更作業のたびに「外部に見える設定が増えていないか」をチェック項目として追加し、経営層にも棚卸しの結果を共有する流れを整えましょう。
参照: 月額5000円で「自社のセキュリティリスク可視化」と「経営視点の評価」を実現するASMサービス「Mitokude .pub」 自社ドメインを入力するだけで、サーバーの脆弱性やVPNの設定不備を炙り出す