公開資産を正確に把握できていない
ドメイン、サブドメイン、グローバルIP、公開サーバーなどの一覧が最新になっていない。
ATTACK SURFACE MANAGEMENT
攻撃者から見える、 自社の姿を把握する。
ASMで、公開資産を把握。 外から見える入口を可視化します。
ASMは、外部から到達可能なドメイン、サブドメイン、グローバルIP、公開ポート、VPN、Webサーバー、管理画面などを確認し、攻撃対象となり得る領域を把握・整理する取り組みです。株式会社クロイツでは、単に公開資産を列挙するだけでなく、外部露出、到達性、業務上の重要度を踏まえて、優先して確認・改善すべきポイントまで整理します。
対象範囲・公開資産数・確認方法を整理したうえで個別にご案内します。
WHAT IS ASM?
ASMとは
ASMはAttack Surface Managementの略で、攻撃者がインターネット側から発見・到達できる可能性のある自社のIT資産を把握し、継続的に管理していく考え方です。
自社で管理しているつもりでも、過去に利用していたサーバー、把握されていないサブドメイン、公開されたままの管理画面、VPNやリモートアクセス機器などが残っている場合があります。ASMでは、まず「攻撃者から何が見えているか」を自社側でも把握することから始めます。
COMMON ISSUES
こんな状態なら、 ASMでの確認を。
クラウドや外部サービスが増えている
部門ごとにクラウドやSaaSを利用しており、外部公開されている環境を一元的に確認できていない。
VPNや管理画面を外部公開している
リモートアクセスや管理用サービスが、インターネット側からどのように見えているか不安がある。
過去のシステムが残っていないか不安
移行前のサーバーや利用終了済みサービスが、公開されたまま残っていないか確認したい。
資産台帳と実際の公開状態が合っているか分からない
管理台帳上の情報と、攻撃者が外部から確認できる実際の状態に差がないか確認したい。
攻撃者が最初に見る場所を知りたい
自社のネットワークへ侵入する前に、攻撃者が収集できる情報や狙いやすい入口を把握したい。
SERVICE
ASMで確認する 主な項目
インターネット側から確認できる情報を起点に、外部公開資産と攻撃対象領域を整理します。
ドメイン・サブドメイン
組織が保有・利用しているドメインや、外部から確認できるサブドメインを整理します。
グローバルIP・公開ホスト
インターネット側から到達可能なIPアドレスや公開ホストを確認し、管理対象との整合を確認します。
公開ポート・サービス
Web、VPN、リモートアクセス、その他の外部公開サービスについて、到達可能な範囲を確認します。
Web・管理画面・リモートアクセス
Webサーバー、管理インターフェース、VPN、RDPなど、攻撃入口になり得る公開サービスを整理します。
未管理・想定外の公開資産
過去のシステムや担当部門が不明な資産など、管理から漏れている可能性のある公開環境を確認します。
外部露出と対応優先度
公開状態、到達性、資産の重要性などを踏まえ、優先して確認・改善すべき対象を整理します。
KREUZ APPROACH
発見だけで終わらせない。 改善の優先順位を整理します。
公開されている資産を一覧にするだけでは、実務上の判断にはつながりません。クロイツでは、外部からの露出、到達性、業務上の重要性、管理状況などを確認し、どの資産から確認・改善すべきかを整理します。
必要に応じて脆弱性診断へつなげることで、「何が公開されているか」の把握から「その対象にどのような弱点があるか」の確認まで段階的に進めることができます。
PRIORITY
Exposure
外部露出
インターネットから到達できるか
Ownership
管理状況
担当者・用途・管理責任が明確か
Impact
業務影響
停止・侵害時の影響が大きいか
優先して確認・改善する対象を整理
PROCESS
ASM実施の 基本的な流れ
-
01
対象範囲の確認
組織名、保有ドメイン、既知の公開環境、除外対象、緊急連絡先などを確認します。
-
02
公開資産の探索
インターネット側から確認できるドメイン、サブドメイン、IP、公開サービスなどを整理します。
-
03
到達性・公開状態の確認
公開ポート、サービス、Web、VPN、管理画面などの外部露出を確認します。
-
04
管理状況との突合
既存の資産情報と比較し、未管理・想定外・用途不明の公開資産がないか整理します。
-
05
リスク評価
外部露出、到達性、資産重要度、業務影響などを踏まえて優先順位を整理します。
-
06
報告・改善提案
確認結果をまとめ、閉鎖、制限、設定見直し、脆弱性診断など次に取るべき対応をご案内します。
REPORTING
資産一覧で終わらせず、 改善につながる報告へ。
確認した公開資産を並べるだけではなく、管理状況、外部露出、優先度、確認事項、推奨する次の対応を整理します。経営層には「どこにリスクがあるのか」、実務担当者には「何を確認・修正すべきか」が伝わる形を目指します。
SERVICE DIFFERENCE
ASMと脆弱性診断、 ペネトレーションテストの違い
ASM
何が外から見えているか
外部公開資産と攻撃対象領域を把握し、管理漏れや想定外の露出を整理します。
対象が把握できていない段階に脆弱性診断
どこに弱点があるか
対象を決め、既知脆弱性や設定上の問題など、攻撃の糸口となる弱点を確認します。
脆弱性診断を見るペネトレーションテスト
実際に攻撃が成立するか
合意した範囲で攻撃を想定し、侵入経路や権限取得、重要資産への到達可能性を検証します。
ペネトレーションテストを見るSAFE ASSESSMENT
対象範囲を明確に。 安全を優先して調査。
診断・調査は、対象システムの管理権限者から明示的に許可された範囲に限定して実施します。許可されていない第三者環境やクラウド基盤を対象にすることはありません。
- 事前に対象・除外範囲・緊急連絡先を確認
- 公開情報と外部到達性の確認から段階的に実施
- DoSやサービス停止を目的とする検査は実施しない
- パスワード総当たりや無断の侵入試験は実施しない
- より深い診断が必要な場合は別途範囲を合意
FAQ
ASMに関する よくあるご質問
ASMと脆弱性診断は何が違いますか？
ASMは、インターネットから見える自社の資産や公開サービスを把握し、攻撃対象領域を管理することが中心です。脆弱性診断は、事前に定めた対象に対して、既知脆弱性や設定不備などの弱点を詳しく確認します。
自社の公開資産が分からなくても依頼できますか？
ご相談いただけます。把握しているドメインや組織情報などを起点に、対象範囲を確認しながら進めます。ただし、第三者資産を誤って対象にしないよう、所有・管理関係の確認が必要になる場合があります。
ASMだけで脆弱性まで分かりますか？
ASMの目的は、まず外部公開資産と攻撃対象領域を把握することです。公開状態から確認できるリスク要因は整理しますが、対象の脆弱性を詳しく確認する場合は脆弱性診断を組み合わせます。
一度実施すれば十分ですか？
公開資産は、システム更新、クラウド利用、拠点追加、委託先変更などで変化します。そのため、初回の可視化後も必要に応じて定期的に確認し、差分を把握することが重要です。
攻撃や侵入を実際に行いますか？
ASMでは、無断の侵入や権限取得を目的とする試験は行いません。実際の攻撃成立性まで検証する必要がある場合は、対象・目的・実施方法を合意したうえでペネトレーションテストとして実施します。
中小企業でもASMは必要ですか？
組織規模にかかわらず、外部公開資産を把握できていない状態はリスクになります。特に専任担当者が少なく、公開サーバーやVPN、クラウド環境の管理が複数の担当者やベンダーに分かれている場合には、現状把握の手段として有効です。
ASM CONSULTATION
自社は外からどう見える？ まずはご相談を。
把握しているドメイン、公開システム、拠点、クラウド利用状況などを伺い、必要な確認範囲を整理します。