公開されている Webアプリケーション、忘れられたクラウド ワークロード、サプライヤー用に作成されたリモート アクセス ポータル、公開されているストレージバケット、または古いサブ ドメインはすべて、ビジネスへの侵入経路となる可能性があります。
コンテキスト: 外部および内部の攻撃対象領域
この記事では、主に外部の攻撃対象領域、つまり攻撃者が組織の外部から識別してアクセスできるドメイン、アプリケーション、クラウド サービス、リモート アクセス システム、およびその他の資産に焦点を当てています。
しかし、より広い攻撃対象領域には、内部システム、ID、ネットワーク 接続、ソフトウェアの脆弱性、およびビジネス プロセスも含まれます。したがって、外部攻撃対象領域管理は、脆弱性管理、ID セキュリティ、アプリケーションセキュリティ、およびネットワーク セグメンテーションと並んで、より広範な露出管理プログラムの一部です。
外部 ASM の価値は、組織が、露出が内部アクセス、中断、またはデータ損失につながる前に、攻撃者が最初の足がかりを得るために使用する可能性のある経路を特定するのに役立つことです。
一部は文書化され、積極的に管理されていますが、その他は正式な資産インベントリの外にあり、最近買収された企業に属しているか、短期プロジェクトのために作成され、適切に廃止されていないものです。
攻撃対象領域管理 (ASM) は、組織が攻撃者よりも先にこれらの露出を見つけるのに役立ちます。
ASMは、一度限りのスキャンや技術的な発見事項の長いリストではなく、外部から見える資産を発見し、どの資産が重要かを理解し、不必要な露出を減らすための継続的なプロセスです。
攻撃対象領域管理とは何ですか？
攻撃対象領域とは、攻撃者がシステムに侵入し、影響を与えたり、データを抽出したりする可能性のあるポイントの集合です。今日の企業では、これは企業ネットワークをはるかに超えて広がっています。これには、次のようなものが含まれます。
- インターネットに公開されているアプリケーションとAPI
- ドメイン、サブドメイン、 DNSレコード
- パブリックIPアドレスと開いているポート
- クラウドワークロード、ストレージ、管理インターフェイス
- VPNや仮想デスクトップゲートウェイなどのリモートアクセスサービス
- SaaSアプリケーションとサードパーティ統合
- 公開されている開発環境とコードリポジトリ
- 漏洩またはオンラインで公開された認証情報やその他の大切な情報
- インターネットから見える接続済みデバイスと運用技術システム。
このようなリスクは理論上のものではありません。カスペルスキーの調査によると、2025年に観測された最初の攻撃ベクトルの約44%は、公開されているアプリケーションの悪用によるものであり、影響を受ける組織への最も一般的な侵入経路となっています。
攻撃対象領域管理とは、外部からの視点でこれらのリスクを発見、評価、軽減する手法です。つまり、「当社のCMDB（構成管理データベース）には、当社が所有していると記載されているものは何か？」と問う代わりに、「攻撃者は何を識別し、アクセスし、悪用できる可能性があるか？」と問うのです。
これは重要です。なぜなら、内部資産インベントリは不可欠ですが、標準プロセス外で展開されたクラウド サービス、放棄されたドメイン、管理されていない SaaS アカウント、一時的なシステム、またはサードパーティによって作成されたインフラストラクチャを捕捉できない可能性があるからです。
攻撃対象領域管理が重要な理由は何ですか?
デジタル ビジネスは常に変化しています。チームが新しいアプリケーションを展開したり、クラウド プロバイダー間でワークロードを移動したり、サプライヤーを接続したり、リモート アクセスを開放したり、地域 Web サイトを立ち上げたり、買収したビジネスを統合したりすると、インフラストラクチャは毎日変化します。
これにより、運用上の問題が発生します。組織の資産のビューがすぐに不完全になる可能性があります。
セキュリティ チームはコア システムについては知っているかもしれませんが、ビジネス ユニット、クラウド アカウント、開発チーム、サードパーティ環境全体にわたる外部から見える資産の信頼できる全体像がありません。これにより、未知のシステムや管理が不十分なシステムが、意図したよりもはるかに長い期間露出したままになる可能性があります。
攻撃者は、組織図、承認された資産リスト、または閲覧の許可を必要としません。公開情報、インターネットスキャン、証明書レコード、 DNSデータ、公開されたサービス、漏洩した情報を使用して、環境の独自のイメージを構築します。
攻撃対象領域管理は、防御側が最初に、より体系的に同じことを行う方法を提供します。
CISOにとっての価値は、可視性の向上だけでなく、リスク判断のより信頼できる根拠となることです。チームは、どの公開資産が重要なサービスをサポートしているか、どの資産の所有権が不明確か、どの資産がインターネットから不必要にアクセス可能か、そしてどの資産が即座に注意を払う必要があるかを特定できます。
効果的な攻撃対象領域管理の仕組み
効果的なASMは、単一のプロジェクトではなく、繰り返しのサイクルに従います。
1.Discover 何ですか 可視化
最初のステップは、組織の外部ビューを構築することです。
これには通常、ドメイン、IP 範囲、クラウド サービス、公開アプリケーション、証明書、開いているポート、公開コード リポジトリ、および組織に関連付けられているその他のインターネットから見えるインフラストラクチャの特定が含まれます。適切な場合は、子会社、地域エンティティ、買収された会社、既知のサードパーティも検出対象に含める必要があります。
有用な開始質問は、「攻撃者が発見した場合、どの資産が私たちを驚かせるでしょうか？」です。
2. 所有権とビジネス目的の検証
発見されたすべての資産が組織に属しているわけではありません。一部は、パーク ドメイン、以前のサプライヤー、共有サービス、または別の当事者に属するインフラストラクチャである可能性があります。その他は組織に属しているものの、明確な所有者がいない場合があります。
ここで、ASM は技術的な作業ではなく、運用プロセスになります。セキュリティ チームは、資産が正当であるかどうか、誰が所有しているか、なぜ公開されているか、そしてその公開がまだ必要かどうかを確認する実用的な方法を必要としています。
リモート アクセス ポータルはサプライヤーとの関係にとって重要であり、開発サーバーは期間限定のプロジェクトに必要であり、テストアプリケーションはリリース後にオンラインのままになっている可能性があります。適切な対応は、すべてを自動的にシャットダウンすることではなく、露出を意図的、制御され、説明責任のあるものにすることです。
3.脆弱性だけでなく露出を評価する
システムは、リスクを生み出すために重大な CVE を必要としません。パブリックインターネットに公開されている管理インターフェイスは、完全にパッチが適用されていても懸念事項となる可能性があり、クラウド サービスが意図したよりも広範囲にアクセス可能になっている可能性があり、ログインIDページが認証攻撃をサポートするために情報を提供しすぎている可能性があり、忘れられたドメインが乗っ取りやなりすましに対して脆弱である可能性があります。
4. ビジネスへの影響に応じて優先順位を付ける
優先順位付けは、多くの ASM プログラムが有用になるか失敗するかの分かれ目です。
大規模な組織は、数百または数千の露出した資産を発見する可能性がありますが、発見したものをすべて危機として扱うことは不可能であり、必要でもありません。焦点は、技術的な弱点と意味のあるビジネス上の影響を組み合わせた露出に置くべきです。
たとえば、露出したテスト サーバーは、機密データが含まれておらず、本番環境から隔離されており、廃止予定であれば、リスクが低可能性があります。一方、配信業務をサポートする外部アクセスゲートウェイは、既知の重大な脆弱性がなくても、直ちにレビューが必要となる場合があります。
実用的な優先順位付けモデルでは、以下の点を考慮します。
- 露出度:どの程度目立ち、アクセスしやすいか?
- 悪用可能性:攻撃者はどの程度容易に露出を悪用できるか?
- 重要度:どのようなビジネス プロセス、データ、またはサービスをサポートしているか?
これは、セキュリティ リーダーが技術的な調査結果をビジネス オーナーが理解できる意思決定に変換するのに役立ちます。
実例: 露出したリモート アクセス サービス
製造業者が、地域の運用環境に接続されたリモート アクセス ゲートウェイを発見したとします。このサービスは、保守プロバイダーが機器をリモートでサポートできるようにするために数年前に設定されました。これはまだインターネットに接続されており、レガシー認証方式を使用しており、プロバイダー契約が変更されて以来レビューされていません。
ASM プロセスは、ゲートウェイが存在することを報告するだけにとどまりません。しかし、次のことを確認します。
- サービスの所有者は誰か
- サプライヤーがまだアクセスを必要としているか
- どのシステムにアクセスできるか
- 多要素認証が有効になっているか
- ネットワークのGPS 追跡、時間、またはユーザーロールによってアクセスが制限されているか
- アクティビティがログに記録され、監視されているか
- サービスの削除、交換、またはセグメント化が可能か
ビジネス上の意思決定は、ゲートウェイを廃止する、サプライヤー アクセスをより厳密に管理する、承認された保守ウィンドウに制限する、またはより強力な認証とセグメント化制御の背後に置く、などです。
その結果は、単に技術的なチケットが解決されるというだけではありません。組織の運用上の混乱リスクを軽減することにつながります。
ASMが脆弱性管理、XDR、脅威インテリジェンスとどのように連携するのか
攻撃対象領域管理は、セキュリティプログラムの他の部分と連携することで最も効果を発揮します。
脆弱性管理は、組織が既に評価できるシステムの既知の脆弱性を特定し、優先順位を付け、修復を支援します。ASMは、そのプロセスではまだ可視化されていない可能性のあるシステム、サービス、クラウド資産を特定するのに役立ちます。
脅威インテリジェンスはコンテキストを追加します。特定のテクノロジー、公開されているサービス、または認証情報の種類がサイバー犯罪者によって積極的に標的にされているか、既知のキャンペーンに関連付けられているかを示すことができます。これにより、チームはどの発見を優先的に処理すべきかを判断できます。
XDR、 SIEM 、その他のSOCツールは、エンドポイント、ネットワーク、クラウド環境、その他のITシステム全体で疑わしい動作を検出および調査するのに役立ちます。ASMは、攻撃のエントリポイントとなる可能性が最も高い外部資産を強調表示することで、これらのツールの有効性を向上させることができます。
インシデント対応および侵害評価サービスも、チームが脆弱性が既に悪用されていると疑う場合、または何が起こったかを特定するために独立した調査が必要な場合に役割を果たします。
セキュリティ評価サービスは、攻撃者の行動をシミュレートし、実際の攻撃者がアプリケーション、ネットワーク、デバイスをどのように悪用できるかを示し、組織の攻撃対象領域に対するより深い可視性を提供し、セキュリティリスクの軽減に役立ちます。
重要なのは、別の独立したセキュリティツールを作成することではなく、リスク管理を検知、対応、資産所有権、リスクガバナンスと連携させることである。
アクションにつながる ASM プログラムの構築方法
実用的な ASM プログラムは、ダッシュボードではなく、所有権から始まります。
セキュリティ チームは、発見された資産の割り当て、検証、修復方法について合意する必要があります。通常、これにはインフラストラクチャ、クラウド、アプリケーション、ネットワーク、調達、法務、およびビジネス チームの参加が必要です。
次の 5 つの運用原則が役立ちます。
- 資産の所有権をセキュリティ コントロールとして扱う。重要な露出資産にはすべて、名前付きの所有者が必要です (ただし、これは通常 ASM の外で行われます)。
- 発見を既存のワークフローにリンクする。ASM の発見は、既に導入されているサービス管理、脆弱性管理、またはリスク管理プロセスを使用して、それらを修正できるチームに届く必要があります。
- 発見だけでなく、削減を測定する。資産数の増加は、セキュリティの悪化ではなく、可視性の向上を示している可能性があります。
- ビジネス用語で報告する。取締役会や経営陣は、ポートや証明書のリストを必要としません。外部露出が顧客サービス、運用、規制上の義務、収益、または復旧能力にどのような影響を与える可能性があるかを理解する必要があります。
ASMが可視性をリスク軽減に変える方法
成熟したASMプログラムであっても、外部に露出しているすべてのシステムがなくなるわけではありません。企業は販売、サポート、接続、運用を行うためにインターネットに接続されたサービスを必要とします。
高ASMプログラムは、規律を重視します。
- 組織は、外部から見える資産を把握し
- 正当な露出と偶発的な露出を区別できます
- 高リスクの発見事項には明確な担当者、定義された対応時間、およびビジネスコンテキストがあります
- 不要なサービスは削除され
- 重要なサービスは保護、監視、およびレビューされます
- そして、セキュリティリーダーは、最も重要な領域におけるリスクへの露出が軽減されていることを実証できます。
これが攻撃対象領域管理の実践的な価値です。抽象的なリスク像ではなく、組織を見つけにくく、侵入しにくく、妨害しにくくするための継続的な方法です。
