企業のIT資産が社内外に広がる中、脆弱性やシャドーITの見落としを減らす取り組みとして、経済産業省などもガイダンスを公表している「アタックサーフェスマネジメント（ASM）」が注目されている。
事案の詳細
近年、クラウド利用の拡大や外部委託、SaaSの普及などに伴い、企業が把握しきれていないIT資産が増え、そこに脆弱性が残ったままになったり、部門や個人が独自に導入したクラウドサービスなどの「シャドーIT」が管理外になったりする課題が指摘されている。ASMは、こうしたインターネットから把握できる情報を用いて、外部から見えるIT資産を対象に見落としを減らすためのセキュリティの考え方およびサービスとして位置付けられている。
ASMが焦点を当てるのは、インターネットからアクセス可能なIT資産や公開状態の情報など、攻撃者の視点で「攻撃の入り口」になり得る範囲である。Webサーバ、クラウド上の公開インスタンス、DNSレコード、証明書情報、外部向けネットワーク機器など、外部から到達できる要素が対象となる。資産が増減しやすい環境では、従来の台帳管理だけでは最新状態を維持しにくく、結果として未把握の資産や設定不備が放置されやすい。ASMは、その“見えていない範囲”を継続的に把握し、管理へつなげる点に意義があるとされる。
また、脆弱性はソフトウェアの欠陥だけでなく、公開範囲やアクセス設定、認証の有無、暗号化の有無など運用・設定の問題として現れることもある。ASMは、資産の棚卸しにとどまらず、外部から見える状態の変化を追い、脆弱なプロトコルの利用、不要なポートの開放、期限切れ証明書の放置など、リスクに気付きやすくする取り組みとして語られている。
影響と背景
クラウド利用や外部委託、拠点分散、テレワークなどにより、IT資産は「社内にあるもの」から「社外にも散在するもの」へと変化してきた。SaaSやIaaSなどのクラウドサービス、外部公開されたWeb・メール・VPNサーバ、IoT機器など、インターネットに接続される資産の種類も増えている。これに伴い、全社で管理されないサービス利用や、把握できていない公開資産が増えると、脆弱性や設定不備が見逃される可能性が高まる。ASMは、こうした環境変化の中で攻撃面（アタックサーフェス）を把握し続けるための手段として注目されている。
対策・今後の展望
- 外部から見えるIT資産の継続把握：一度の棚卸しで終わらせず、インターネットからアクセス可能なIT資産や公開情報が常に変化する前提で、資産の追加・変更・廃止が起きることを見越した継続的な把握プロセスを運用に組み込む。自動スキャンや監視サービスの活用などにより、攻撃面の変化を定期的に確認することが重要とされる。
- シャドーITの可視化：部門や個人で導入したクラウドサービスや外部公開環境が管理外にならないよう、利用実態を把握し、必要に応じて全社の管理に統合する。ドメインやサブドメイン、外部公開されたクラウドリソースなどを網羅的に洗い出し、誰が管理しているか、どのような用途かを明確化することで、意図しない公開や設定不備を減らす。
- 脆弱性・設定不備の見落とし低減：外部公開の状態や設定の変化に気付ける仕組みを用意し、見つかった課題を担当部署で確実に是正する流れを整える。既知の脆弱性情報との突合や、暗号化方式・証明書・認証方式などのチェックを継続的に行うことで、攻撃者に悪用され得る入口を減らすことが期待される。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断現場では、把握できていない公開資産が残りやすく、担当者も「いつ作られたか分からない」環境が混在しているケースが多い。古い検証環境や、外部ベンダーが一時的に構築したサイト、退職者が管理していたクラウド環境などがそのまま残ることもある。MDR（Managed Detection and Response）運用でも、外部公開サービスへの想定外アクセスや、管理外アカウントを起点とした兆候が繰り返し見つかっており、攻撃者視点での入口の洗い出し不足が課題になっている。
【観点②：平易な解説】ASMは、例えるなら「会社の建物の外周を毎日見回り、増えた裏口や開けっぱなしの窓を探す」ようなものである。建物の内部の設備や備品を数えるだけではなく、外から見える入口や窓、鍵の状態を確認し続けるイメージだ。つまり、社内で管理しているつもりでも、外からは別の入口が見えていることがあり、そこを放置すると狙われやすくなる。攻撃者が先に気付く前に、自組織がその存在と状態を把握することがASMの目的である。
【観点③：今週中にできること】まず、社内で使っているクラウドや外部公開サービスを部門ごとに申告してもらい、管理台帳に集約する。その際、サービス名、URLやドメイン、用途、管理責任者、契約形態など、外部からの入口に関わる情報をできるだけ揃える。次に、公開している資産の担当者と連絡先が全て埋まっているか確認し、空欄があれば即日埋める運用にする。誰が管理しているか分からない資産を残さないことが重要だ。最後に、変更や新規導入の際は必ず申請するルールを周知し、例外を作らない体制に寄せていく。申請の有無を監査し、未申請の公開資産が見つかった場合は速やかに是正する、といった運用までセットで考えるとASMの効果を高めやすい。
参照: 脆弱性やシャドーITを見逃さない！ 注目のセキュリティサービス「アタックサーフェスマネジメント」（ASM）とは[Sponsored]