クラウドを中心としたデジタルトランスフォーメーション（DX）、リモートワークの拡大により、企業や組織（以下、企業）のサイバーセキュリティを脅かす攻撃対象領域は日々増加しています。 攻撃対象領域管理 （ASM、Attack Surface Management）は、このような攻撃対象領域を継続的に識別、分析、モニタリングするプロセスで、ハッカーの観点から先制的にサイバーセキュリティを行う方法です。本日は、攻撃対象領域とそれを管理する攻撃対象領域管理についてご紹介します。
記事の概要
- 現代の企業の攻撃対象領域は非常に広大です。今回の記事では、インターネットを通じてアクセスできるIT資産を攻撃対象領域の範囲に設定して記事を作成しました。
- 攻撃対象領域（Attack Surface）とは、ハッカーが企業のネットワークやセキュリティ上で機密性の高いデータに無断でアクセスしたり、サイバー攻撃を行うために使用できる脆弱性・経路を意味します。
- 代表的な攻撃対象領域には、パブリックIPアドレスやドメインアドレス、クラウドインフラサービス、インターネットに接続されたIoT機器、共有データベースやディレクトリなどがあります。
- 攻撃対象領域管理（Attack Surface Management）は、企業のIT環境で発生しかねないサイバーセキュリティの脅威を事前に識別、分析、モニタリングするプロセスを意味します。
- 攻撃対象領域管理が必要な理由は、企業のDXにより攻撃対象領域が指数関数的に増加しましたが、既存のセキュリティプロセスではこのような状況に対応することが難しいためです。
入る前に
本題に入る前に、攻撃対象領域の範囲を明確にしたいと思います。
攻撃対象領域は膨大です。内外部ネットワークの攻撃対象領域、物理的な攻撃対象領域、ソーシャルエンジニアリング攻撃対象領域、エンドポイント攻撃対象領域など、たくさんの文章を読んでも攻撃対象領域についての明確な理解は簡単ではありません。今回は、サイバーセキュリティで最も強調される攻撃対象領域である「デジタル環境でインターネットを通じてアクセスできるIT資産」を攻撃対象領域の範囲として定義します。
攻撃対象領域とは？
攻撃攻撃対象領域管理について調べる前に、まず攻撃対象領域について調べたいと思います。攻撃対象領域（Attack Surface）とは、ハッカーが企業のネットワークやセキュリティ上の重要なデータに不正アクセスしたり、サイバー攻撃を行うために使用できる脆弱性や経路を指します。COVID-19を皮切りに、オンライン勤務が爆発的に増加し、クラウドを中心とした企業のDXが加速する中、攻撃対象領域は日々増加しています。攻撃対象領域の拡大は、アメリカのグローバル市場調査機関である「Gartner」が発表した2022年のセキュリティとリスク管理のトップトレンドで1位として紹介されたこともありました。企業が持てる攻撃対象領域の種類は以下の通りです。
- パブリックIPアドレスとドメインアドレス
- メールサーバーとアカウント
- クラウドインフラサービス
- 外部に公開された管理者ページ
- モノのインターネット（以下IoT）機器
- 共有データベース及びディレクトリ
- 古いまたは使用されなくなったIT資産（デバイス、クラウドサーバー、アプリケーションなど）
- その他すべてのインターネット接続資産
攻撃対象領域管理とは？
攻撃対象領域管理は、企業のIT環境により発生しかねないサイバーセキュリティの脅威を事前に識別、分析、モニタリングするプロセスです。企業のIT環境で潜在的なセキュリティ脅威が発生できるデジタル資産を識別すると同時に、脅威分析とリアルタイムモニタリングでサイバー脅威に対する公開緩和と先制的な対応を目的としています。攻撃対象領域管理のプロセスを大きく3段階に分類すると、以下の通りです。
デジタル資産の識別
攻撃対象領域管理の始まりは、外部インターネット環境に公開されている企業のIT資産を特定することです。当プロセスはスキャンとも呼ばれます。スキャンにより、企業は未知のIT資産を発見することができ、これは攻撃対象領域管理ソリューションにとって非常に重要な機能の一つです。
脅威分析
スキャンを通じて特定された企業の外部に公開されたIT資産に対する脅威レベルを評価し、脆弱性を分析します。これにより、企業は未知の資産に対する先制的な対応が可能になります。
リアルタイムモニタリング
スキャン後、識別されたIT資産に対する脅威分析の過程を完全に自動化し、リアルタイムでモニタリングできるようにします。これにより、企業は発見されたサイバーセキュリティの脆弱性を即座に措置することができ、増加する攻撃対象領域に連れて迅速にサイバーセキュリティの脅威に対応できる、より強力で効率的なセキュリティ体制を構築することができます。
企業の攻撃対象領域を管理する4つの方法
企業の攻撃対象領域は非常に広大です。そのため、専門組織の助けを借りたり、脆弱性スキャナー、攻撃対象領域管理ソリューションなどを使用することになりますが、それぞれの方法とその長所と短所について調べてみましょう。
1. 脆弱性スキャナーを使用した攻撃対象領域管理
脆弱性スキャナーは、組織の資産を分析して既知の脆弱性を自動的に検出するツールです。当ツールを効果的に使用するには、まず、すべてのネットワークとシステム資産をスキャンできる範囲を設定した後、定期的なスキャンのスケジュールを設定して最新の脆弱性データベースと同期した状態でスキャンを行います。発見された脆弱性は重要度に応じて分類し、即時にパッチを適用するか、設定変更を通じて対応を取り組みます。例えば、NessusやQualysのようなツールを活用して企業のクラウド環境、アプリケーション、内部ネットワークを継続的にモニタリングし、発見された新たな脆弱性に即座に対応します。これにより、組織の攻撃対象領域を継続的に最小化することができます。脆弱性スキャナーを使用した攻撃対象領域管理の長所と短所は以下の通りです。
長所
- 自動化された分析：繰り返されるスキャンと脆弱性検出が自動的に行われるため、時間と労力を節約できます。
- 包括的なカバレッジ：組織のすべての資産に対して広範な脆弱性検出が可能です。
- 継続的なアップデート：最新の脆弱性データベースと同期され、新たな脅威への対応力を強化することができます。
短所
- 障害発生の可能性：脆弱性を検出するためにサーバーとシステムに直接影響を与えるため、障害が発生する可能性があります。
- 未検出および誤検出の可能性：未知の脆弱性と特定されていない資産に対する脆弱性は検出されません。検出された脆弱性の一部は、実際の脅威ではない可能性があり、さらなる分析が必要です。
- 即時解決の限界：脆弱性の発見後も、解決措置には組織のリソースが必要です。
- リアルタイム検出の欠如：定期的なスキャンでない場合、新たな脆弱性が発生してもリアルタイムで検出されない可能性があります。
2. ペンテストによる攻撃対象領域管理
ペンテストは、攻撃者の視点から組織のセキュリティを評価する方法であり、システムの実質的な脆弱性を確認することができます。ペンテストを行うためには、まず明確なテスト範囲と目標を設定する必要があります。例えば、特定のアプリケーションやネットワーク構成をターゲットにすることができます。その後、専門的なペンテストツールである「Metasploit」や「Burp Suite」などを使用して、様々な攻撃対象領域をシミュレートします。テスト結果で発見された脆弱性に対しては、優先順位に応じて修正または遮断措置を実施します。ペンテストは定期的に実施したり、システム変更（例えば、新規サービスの展開、大規模パッチ適用）時に実行し、セキュリティレベルを維持します。これにより、潜在的な脆弱性を事前に除去することができます。ペンテストを通じた攻撃対象領域管理の長所と短所は以下の通りです。
長所
- 実際の攻撃シミュレーション：攻撃者の視点でセキュリティの脆弱性を実質的に評価することができます。
- カスタマイズテスト：組織の特定のシステム、ネットワーク環境に合わせたテストを設計することができます。
- 事前予防の効果：攻撃が発生する前に主要な脆弱性を特定し、修正することができます。
短所
- 障害発生の可能性：脆弱性を検出するためにサーバーとシステムに直接影響を与えるため、障害が発生する可能性があります。
- 費用の問題：専門の人材とツールが必要で、頻繁に実施する場合、高い費用が発生します。
- 時間の問題：テストの準備と実行、報告までかなりの時間が必要です。
- 限界範囲：テストが指定された範囲とシナリオ内でのみ行われ、予期せぬ脅威は検出できない可能性があります。
3. 脅威インテリジェンスを活用した攻撃対象領域管理
脅威インテリジェンスは、最新のサイバー脅威情報と攻撃対象領域を分析することで、組織のセキュリティ対応力を向上させる戦略です。脅威インテリジェンスを活用するには、まず、「Criminal IP」などの脅威インテリジェンスプロバイダー（TIP）と協力して最新の脅威データを取得します。その後、収集した情報を分析し、組織の攻撃対象領域に影響を与えられる潜在的なリスクを特定します。例えば、特定のタイプのランサムウェアが増加した場合、ランサムウェアに脆弱なシステムを先制的に補強します。脅威インテリジェンスを活用した攻撃対象領域管理の長所と短所は以下の通りです。
長所
- 障害発生可能性の最小化：脆弱性スキャンやペンテストとは異なり、攻撃対象領域管理ソリューションを活用する場合、障害発生の可能性を最小限に抑えることができます。
- インテリジェントなセキュリティ対応：最新の脅威情報を基に、迅速かつ正確な予防措置を行うことができます。
- 先制的防御：潜在的な攻撃に対する事前準備で攻撃成功の可能性を大幅に減少させることができます。
- システム統合の可能性：SIEMなどのセキュリティ管理システムと連携して、自動化された脅威対応が可能です。
短所
- 信頼性の問題：脅威情報の品質やソースが信頼できない場合、誤った判断につながる可能性があります。
- 複雑性：脅威データを分析・活用するためには、専門的な知識と技術が必要です。
- コスト負担：高度な脅威インテリジェンスサービスやソリューション導入時に追加費用が発生する可能性があります。
4. AI自動化による攻撃対象領域管理ソリューション
企業はAIを活用した攻撃対象領域管理ソリューションにより、より効率的に攻撃対象領域を管理することができます。代表的なAI攻撃対象領域管理ソリューションには、「Criminal IP ASM」があります。自動化されたAI攻撃対象領域管理ソリューションは、企業のネットワークおよびクラウド環境、アプリケーションなどで公開された資産をスキャンし、発見された脆弱性とリアルタイムでマッピングします。このような過程で、企業の公開された資産に対する脅威レベルを評価し、発見された脆弱性の優先順位を把握してリソースを効率的に配分することができます。AIを活用した自動化の前と後を表でまとめてみました。
| 項目 | 自動化前 | AI自動化後 |
|---|---|---|
| 検知スピード | 手動で資産をスキャンして脆弱性を確認するのに時間がかかる | リアルタイム検知・更新で対応スピードが飛躍的に向上される |
| 正確さ | 人のミスにより、一部の資産が欠落したり、誤った判断をする可能性がある | AIがデータを総合的に分析し、高い精度を提供する |
| 効率性 | セキュリティチームが反復的な作業に多くの時間を費やす | 単純作業が自動化され、セキュリティチームが高付加価値業務に集中できる |
| 脅威対応 | 脆弱性の優先順位の判断が難しく、リソースが非効率的に使用される | AIがリスクレベルを評価し、最適な対応戦略を提案する |
| コスト節約 | 手作業のため人件費が高く、ミスによる追加被害が発生する可能性がある | 作業の自動化によるコスト効率化と運用リスクの低減を実現する |
最終的に、企業はAI自動化による攻撃対象領域管理ソリューションを活用することで、毎日新たに発見される攻撃対象領域に対してリアルタイムで対応することができ、生産性の向上とコスト効率化を期待できます。つまり、発生する可能性のあるサイバー脅威に先制的な対応ができる能力を備えることができ、これは企業のビジネス競争力にもつながります。
攻撃対象領域管理の未来
攻撃対象領域管理は、単純な資産の識別を超え、強力なセキュリティエコシステムを構築することになります。クラウドを中心としたデジタルトランスフォーメーションは今後も加速し、企業のサイバーセキュリティを脅かす攻撃対象領域はさらに増加すると予想されます。これに伴い、攻撃対象領域管理も発展していますが、既存のセキュリティ管制システムにAIでより精巧化されたIT資産の識別および脅威分析機能が統合され、多様なサイバーセキュリティの脅威に先制的に対応できるようになります。また、セキュリティ自動化および対応ソリューション（SOAR）との連動により、より強力なセキュリティエコシステムを構築し、資産識別 〉脅威検知 〉対応 までの全過程を自動化し、効率を高めることができるようになります。
FAQ
攻撃対象領域管理が必要な理由は何ですか？
今日、デジタル変革が加速する中、企業は革新的なテクノロジーの導入により競争力を強化しようとしていますが、同時にサイバーセキュリティの脅威も急増しています。クラウドを中心としたデジタルトランスフォーメーション、リモートワークの急増、IoT機器の爆発的な増加により、企業が保護すべき攻撃対象領域はこれまで以上に複雑かつ膨大なものとなっています。このような状況で、攻撃対象領域管理は、現代の企業にとって選択ではなく、必須のサイバーセキュリティ戦略となっています。既存のサイバーセキュリティプロセスでは、増加する攻撃対象領域に効果的に対応できないだけでなく、未知の資産を検知することに限界があるためです。
攻撃対象領域管理とペンテストの違いは何ですか？
最も大きな違いを3つ説明できます。1）障害を起こさないという点 2）完全に自動化され、リアルタイムモニタリングを提供する点 3）未知の資産に対する可視性を確保できる点を挙げることができます。ペンテストは決められた期間、既知の資産に対してのみ行われます。そのため、ペンテストが行われた後、次のペンテストまでは脆弱性を発見することも、備えることもできません。また、未知の資産を通じて発生する可能性のある潜在的な脅威に対しても備えることができないのが現実であり、ペンテストを進めながら使用する脆弱性スキャナープログラムはサーバーに障害を起こす可能性があります。しかし、攻撃対象領域管理ソリューションはこのような問題をすべて解決します。完全に自動化され、リアルタイムで既知の資産だけでなく、未知の資産を識別し、脆弱性や脅威に対する分析を行います。また、システムの安定性を考慮して非侵襲的な方式で設計されているため、システムに直接負荷をかけることなく、365日24時間攻撃対象領域管理を自動的に行うことができます。
すでにファイアウォールを運用しているにもかかわらず、 攻撃対象領域管理 をする必要がありますか？
はい、ファイアウォールの機能と目的は様々ですが、基本的なファイアウォールの役割は外部からの侵入に対する防御です。つまり、すでに攻撃を受け始めてからファイアウォールが動作することになります。しかし、攻撃対象領域管理は、攻撃を受ける前に潜在的なサイバーセキュリティの脅威を分析し、先制的な対応を目標に運営します。そのため、ファイアウォールを運営していても、攻撃対象領域管理を通じて効率的かつ堅固な防御体系を構築することは非常に重要です。
結論
攻撃対象領域管理とは、企業のサイバーセキュリティの脅威となる可能性のあるすべてのIT資産を識別・分析・モニタリングするプロセスを指します。攻撃対象領域管理により、企業は完全に自動化されたモニタリング機能を活用し、既知の資産だけでなく、未知の資産を識別し、サイバーセキュリティの脅威に対する分析を行い、効率的なセキュリティプロセスを構築することができます。さらに、攻撃対象領域管理は、AIと自動化セキュリティ対応ソリューションであるSOARとの連動により、より強力なセキュリティエコシステムへの発展を準備しています。
Criminal IP ASMは攻撃対象領域管理ソリューションで、OSINTベースのサイバー脅威インテリジェンスとの連動を通じて強力な脅威分析機能を提供する一方、AIの活用で企業の未知の資産をより効果的に識別し、分析します。また、システムに負担をかけない非侵襲的な方法で設計されており、障害なく完全に自動化されたモニタリングを提供し、検出された脅威に対するリアルタイムレポートを通じて、先制的にサイバーセキュリティの脅威に対応できるように支援します。Criminal IP ASMの無料トライアルをご希望の方は、以下のリンクからお申し込みください。
▶Criminal IP ASMの無料トライアルをお申し込む◀
ご参照：
