ASMとは？概要や注目される理由、実践のためのプロセスについて解説

デジタル化が加速する現代社会において、サイバーセキュリティの重要性は日々高まっています。そうした中で、組織のIT資産を保護するための対策として「アタックサーフェスマネジメント（Attack surface management：ASM）」が注目を集めています。

直近では、2024年7月19日に内閣官房内閣サイバーセキュリティセンター（以下、NISC）が「横断的アタックサーフェスマネジメント（ASM）事業の運用開始に係るプレスリリース」を公表しました。その中では、各府省庁、独立行政法人・指定法人の情報システムを対象に、システムの脆弱性等を調査・是正する横断的アタックサーフェスマネジメント（ASM）事業を2024年7月22日以降、順次開始します。としており、政府においてもASMの取り組みをスタートしています。
本コラムでは、ASMの概要や注目される理由、実践のためのプロセスについて解説いたします。

（参考：NISC 　横断的アタックサーフェスマネジメント（ASM）事業の運用開始に係るプレスリリース）

ASMの概要

ASMとは

ASMとは、インターネットからアクセス可能な組織のIT資産に存在する脆弱性や攻撃ポイントを特定し、脆弱性などのリスクを継続的に監視しながら管理するプロセスのことです。潜在的な脆弱性や攻撃ポイントは「アタックサーフェス」と呼ばれ、こうした攻撃にさらされる可能性のある領域を特定し、管理、減少させることで自組織のセキュリティを強化します。

なお、インターネットからアクセス可能なIT資産のことを「EASM（External Attack Surface Management）」と呼ぶこともありますが、本コラムではASMとEASMを同じ意味で記載しています。

ASMが注目される理由

ASMが注目されるようになった背景としては、主に以下が挙げられます。

1.サイバー攻撃と高度化

サイバー攻撃は年々高度化しており、ランサムウェア、標的型攻撃、ゼロデイ攻撃など、従来の防御策では対応が困難な脅威が増加しています。攻撃者は常に新しい手法を開発し、セキュリティの穴を探っていることから、組織の脆弱性を継続的に評価する仕組みが必要になってきています。

2. デジタル環境の複雑化

オンプレミスのシステム、クラウドサービス、IoTデバイス、モバイル端末など、従来と比べ、企業が管理すべきIT資産が増加しています。また、コロナを機にリモートワークが一般化したことで従業員が企業ネットワーク外からアクセスする機会も増えました。こうしたデジタル環境の変化により、すべての脆弱性や攻撃ポイントを把握することは困難になっています。

上記のような進化し続ける脅威やデジタル環境の複雑化へ効果的に対応するための対策として、ASMが注目されています。​​​​​​​​​​​​​​​​

ASMを導入するメリット

1. 脆弱性の早期発見と修正

ASMにより、システムやネットワークに関する脆弱性を早期に発見し、修正することができます。これにより、攻撃者が悪用する前にリスクを低減し、セキュリティを強化することができます。

2. セキュリティリスクの可視化

ASMにより、組織の全体的なセキュリティリスクを可視化することができます。これによりどの部分が特に脆弱であり、どこに重点的に対策を講じるべきかを明確に把握できます。
また、情報システム部門が把握していないIT資産や、意図せずインターネット上に公開されているIT資産を特定できる可能性もあります。

3. ガイドライン遵守の支援

多くの業界では、セキュリティ要件に関するガイドラインが定められているケースが多いです。ASMを活用することで、これらの要件を満たしやすくなり、自組織のセキュリティ強化に繋げることができます。

ASMと脆弱性診断との違い

ASMと脆弱性診断にはその目的に大きな違いがあります。ASMは攻撃可能な領域を特定し、それらを最小化することを目的とするセキュリティ戦略です。一方、脆弱性診断は特定のシステムやネットワークの脆弱性を発見し、対策することに焦点を置いています。

	内容	目的	範囲	頻度
ASM	組織の全体的なアタックサーフェスを特定、管理、削減するプロセス。	潜在的な攻撃ベクトルを特定し、全体的なセキュリティリスクを軽減すること。	ネットワーク、アプリケーション、エンドポイント、クラウドリソースなど、組織全体のIT資産を対象とする。	継続的なプロセスで、組織のIT環境の変化に応じて常に更新される。
脆弱性診断	特定のシステム、アプリケーション、ネットワークの脆弱性を特定し評価するプロセス。	既知の脆弱性を発見し、それらを修正するための具体的な推奨事項を提供すること。	特定のIT資産や環境に焦点を当てる。	定期的に実施されることが多いが、アタックサーフェスマネジメントほど継続的ではない。

このようにASMと脆弱性診断は、どちらか一方を実施していれば良いわけではなく、自社の環境に応じて併用を検討しても良いでしょう。

ASMの実践プロセス

ここでは、ASMを実施するためのプロセスについて解説します。

アタックサーフェスの特定

ASMの第一歩は、組織のIT資産を正確に把握することです。これには、サーバー、ネットワーク機器、エンドポイントデバイス、クラウドサービス、ウェブアプリケーション、さらにはIoTデバイスまで、組織が保有または利用する全てのIT資産が含まれます。
資産の把握には、一般的に専用のツールが利用されます。ツールを利用することでネットワーク上の機器やサービスを自動的にスキャンし、一覧化することが可能です。しかしながら、ツールだけでは必ずしもすべてのIT資産を特定できないケースもあるため、自組織の各部門の協力を得ながら、「シャドーIT」と呼ばれる非公式に導入されたサービスも含めて把握することが重要になります。

次に、特定された資産の潜在的な脆弱性を洗い出します。これには、既知の脆弱性データベース（例：CVE）との照合や脆弱性スキャン用のツールを組み合わせながら行います。また、設定ミスや不適切なアクセス権限設定などの人為的な脆弱性も見落とさないよう注意が必要です。

アタックサーフェスの評価

特定されたアタックサーフェスは、以下の観点を考慮しながら実際に攻撃を受けた場合にどの程度リスクがあるのかについて評価を行います。

• 脆弱性の深刻度
• 潜在的な影響（データ漏洩、サービス停止など）
• 攻撃の容易さ
• 資産の重要度

これらの要素を総合的に判断しながら、リスク評価を行い、対応の優先順位を決定していきます。限られたリソースを効果的に活用するためには、優先順位の高いリスクから順に対処していくことが重要です。

アタックサーフェスへの対応

評価結果に基づいて、アタックサーフェスを削減するための具体的な対応を実施します。主な対応には以下のようなものがあります。

不要なサービスやポートの無効化

使用していないサービスや開放されたポートは、攻撃者の侵入口となる可能性があります。定期的に必要性を見直し、不要なものは速やかに無効化しましょう。

ソフトウェアの更新

既知の脆弱性に対するパッチを迅速に適用することで、攻撃のリスクを大幅に低減できます。自動更新の設定や、パッチ管理ツールの導入を検討しましょう。

アクセス制御の強化

最小権限の原則に基づき、ユーザーやシステムに必要最小限のアクセス権限のみを付与するようにしましょう。多要素認証の導入も効果的です。

マイクロセグメンテーション化

ネットワークを論理的に細かく分割することで、重要な資産が被害を受ける影響範囲を限定できます。

エンドポイント保護

マルウェア対策ソフトやEDRの導入により、端末レベルでの防御を強化します。

継続的なモニタリングと管理

ASMは一度行えば終わりというものではありません。技術の進化や組織の変化に伴い、アタックサーフェスは常に変化します。そのため、継続的なモニタリングと管理が不可欠です。アタックサーフェスの変化をリアルタイムで監視し、新たな脅威や異常を即座に検知する体制を整えていくことが重要となります。

また、インシデント対応計画の策定も重要です。アタックサーフェスの管理を徹底しても、完全に攻撃を防ぐことは困難です。そのため、攻撃を受けた際の対応手順を事前に定めておくことで、被害を最小限に抑え、迅速な復旧を図ることができます。

ASMの課題

ASMを効果的に実施する上では、いくつかの課題があります。

急速に変化するIT環境への対応

クラウドコンピューティング、IoT、AIなどの新しい技術の導入に伴い、アタックサーフェスが拡大・複雑化します。これらの新技術特有のリスクを理解し、適切に管理する必要があります。

組織全体の協力が必要

ASMは、IT部門やセキュリティ部門だけではなく、全ての従業員がセキュリティの重要性を理解し、日々の業務の中でセキュリティを意識することが求められます。そのためには、経営層の強いコミットメントと、継続的な教育・啓発活動が不可欠です。

コストと効果のバランス

アタックサーフェスを完全に制御しようとすると、膨大なコストがかかる可能性があります。組織のリスク許容度を考慮しつつ、適切なバランスを見出すことが重要です。

参考になるガイドライン

参考になるガイドラインとしては、2023年5月29日に経済産業省が公表した「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」があります。
ASMの定義や実践方法についてまとめられている他、ASMを取組実態や課題などをヒアリングした際の事例も紹介されているため、自組織で検討を進める際に参考にすると良いでしょう。

まとめ