ASMとは何か、企業が今向き合うべき理由
ASMとは、インターネット上に公開されているサーバーやドメインなどの資産を自動で洗い出し、そこに潜むリスクを継続的に監視する仕組みです。まずは基本的な考え方と、なぜ今この取り組みが求められているのかを見ていきます。
ASMの基本的な仕組みと外部公開資産の可視化
ASMは、社外から見える自社のIT資産を自動的に検出し、一覧化・可視化する仕組みです。クラウドサービスの利用拡大やテレワークの普及により、情報システム部門が把握しきれていないサーバーやドメインが増えています。こうした資産を可視化できていないこと自体が、大きなセキュリティリスクとなる点に注意が必要です。
従来の資産管理は担当者による台帳更新が中心で、新規契約したクラウド環境や過去に構築したまま放置されたサイトが抜け落ちるケースが少なくありません。ASMは外部からの視点でスキャンを行うため、社内で認識していない資産も含めて機械的に検出できる点が特徴です。
なぜ今ASMによる課題解決が急務なのか
サイバー攻撃は公開されたサーバーの脆弱性やドメインの設定不備を起点に行われることが多く、攻撃者は防御側より先に外部公開資産を調査していると言われています。企業側が自社の攻撃対象領域を把握できていなければ、対策の優先順位も付けられません。
特にクラウド移行やDX推進によって公開資産の数は年々増加しており、手作業での棚卸しには限界があります。ASMを導入すれば、資産の増減をリアルタイムに近い形で追跡でき、脆弱性が発見された際にも影響範囲を素早く特定できます。加えて、資産の増加傾向を定期的に確認しておくことで、監視対象の抜け漏れも防ぎやすくなります。
外部公開資産の可視化不足とシャドーITがもたらすリスク
可視化されていない資産や、情報システム部門の管理外で利用されているシャドーITは、気づかないうちに攻撃の糸口となります。ここでは、これらが引き起こす具体的な課題を整理します。
外部公開資産を可視化できていない企業に共通する課題
外部公開資産の可視化が不十分な企業では、部門ごとに契約したクラウドサービスや、担当者の異動で管理が引き継がれなかったドメインが放置されがちです。こうした資産は脆弱性診断の対象からも漏れやすく、攻撃者にとって狙いやすい入口となります。
この課題を解決するには、資産の洗い出しを一度きりの棚卸しで終わらせず、継続的に更新される仕組みを整えることが重要です。ASMツールを使えば、新規に公開されたIPアドレスやサブドメインを自動的に検知し、リスト化して管理できます。
シャドーITを把握できない限界を感じたら検討すべきこと
シャドーITとは、情報システム部門の許可を得ずに現場が独自に導入したITサービスやツールを指します。手作業のヒアリングや申請ベースの管理だけでは、こうした資産をすべて洗い出すことは困難です。
把握の限界を感じた段階では、外部から自社ドメインをスキャンして公開資産を発見するASMの導入を検討する価値があります。実際に稼働しているサービスを技術的に検出する方式であれば、申告漏れに左右されずにシャドーITの実態を捉えられます。
脆弱性管理業務の属人化を解消する運用のポイント
脆弱性管理が特定の担当者に依存していると、休職や異動をきっかけに対応が滞る恐れがあります。この章では、属人化が起きる原因と、標準化のための考え方を紹介します。
属人化が起きる原因と業務停滞のリスク
脆弱性管理が属人化する背景には、対象資産のリストや診断結果が担当者個人のファイルやメールに散在し、他のメンバーが状況を把握しづらいことがあります。担当者しか対応方法を知らない状態が続くと、緊急の脆弱性が見つかった際に対応が遅れるリスクが高まります。
この状態を放置すると、退職や部署異動のタイミングで管理が空白になり、公開資産の一部が誰にも監視されなくなる事態も起こり得ます。属人化の解消には、資産情報や対応履歴を一元的なツール上で共有できる仕組みが欠かせません。
ASMを活用した脆弱性管理の標準化手順
ASMを導入すると、外部公開資産の一覧と検出された脆弱性情報が同じ画面上で管理できるようになり、担当者以外のメンバーも状況を確認しやすくなります。リスクの深刻度に応じて優先順位が自動的に示される製品を選べば、対応方針の判断も標準化しやすくなります。
さらに、検知結果を定期レポートとして関係者に共有する運用ルールを整えておくことで、特定の担当者だけが状況を把握している状態を避けられます。ツールと運用ルールを組み合わせることが、脆弱性管理の属人化を解消する近道です。
外部委託先のセキュリティリスクとM&A後に増える資産管理の課題
自社だけでなく、外部委託先やグループ会社の資産管理も見落とせないポイントです。ここでは、委託先リスクとM&A後の資産管理という2つの観点から課題を整理します。
外部委託先のセキュリティリスク管理における不安点
システム開発や運用の一部を外部委託している場合、委託先が管理するサーバーやドメインの設定状況までは自社で把握しきれないことが多くあります。委託先で脆弱性が放置されていても、契約範囲によっては報告が遅れる可能性があります。
こうした不安を軽減するには、委託先を含めた外部公開資産全体をスキャンできるASMを選ぶことが有効です。自社ドメインに紐づく関連資産まで検出できる製品であれば、委託先起因のリスクも早期に発見しやすくなります。検出結果を委託先と共有できるレポート機能があれば、契約の見直しや改善依頼にもつなげやすくなります。
M&A後に増加する外部公開資産を把握する方法
M&A(合併・買収)を行うと、買収先企業が保有していたサーバーやドメインが自社の管理対象に加わります。しかし、システム統合が完了するまでは、資産台帳が整備されていないことが少なくありません。この期間は攻撃対象領域が把握しづらい状態です。
ASMを使えば、買収先のドメインを起点として関連する外部公開資産を自動的に洗い出せるため、統合作業と並行してリスクの高い資産から優先的に対策を進められます。M&Aの初期段階から導入しておくと、統合後の管理もスムーズです。
ASMの運用工数を削減し内製と外部委託を使い分けるポイント
ASMは導入して終わりではなく、日々の運用が発生します。運用工数を抑える工夫と、内製・外部委託の使い分け方について解説します。
ASM運用にかかる工数と負荷を減らす工夫
ASMの運用では、検出された資産や脆弱性の中から対応が必要なものを選別する作業が発生し、件数が多い場合は担当者の負荷が高くなります。誤検知が多いツールを選ぶと、確認作業だけで工数が膨らんでしまいます。
工数を抑えるには、リスクの深刻度に応じて自動的に優先順位を付けてくれる機能や、レポートを定型フォーマットで出力できる機能を備えた製品を選ぶことがポイントです。あわせて、対応が不要な資産をあらかじめ除外できる設定機能があると、日々の確認作業を効率化できます。
自社内製と外部専門会社への委託、それぞれの向き不向き
外部公開資産の管理を自社の情報システム部門で内製する場合、社内事情に即した優先順位付けがしやすい一方、専門知識を持つ人材の確保や育成が課題です。専任の担当者を置けない企業では、対応が後回しになりがちです。
一方、外部の専門会社に委託すれば、最新の攻撃手法を踏まえた分析を受けられますが、社内の運用ルールとの連携には調整が必要です。自社のリソース状況や既存のセキュリティ体制を踏まえ、内製と委託を組み合わせる選択肢も検討する価値があります。例えば、日常的な資産の監視はツールで内製し、深刻度の高い脆弱性への対応方針だけ外部の専門会社に相談する形であれば、コストを抑えながら専門性も補えます。
外部公開資産の可視化と脆弱性対応を支えるASM製品
ここまで紹介した課題を踏まえ、外部公開資産の洗い出しから脆弱性の優先順位付けまでを担えるASM製品を紹介します。自社での運用イメージを持ちながら比較検討する参考にしてください。
ANTERAS ASM
- 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
- サイバー攻撃の動向や手法を熟知した専門家が調査を実施
- 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定
株式会社マクニカが提供する「ANTERAS ASM」は、攻撃者と同じ視点でOSINT手法(公開情報をもとに調査する手法)を用いて外部公開資産を調査するASM製品です。本社だけでなく関連会社や海外拠点まで対象範囲を広げ、MXレコードやNSレコード、Whois情報などをもとに管理者が把握していないドメインや野良サーバーを洗い出します。AIと専門家によるアプローチで、VPN機器やファイアウォールなど実際に悪用されうる脆弱性に絞って通知するため、過検知を抑えながら対応の優先順位を付けやすくなります。検出結果は英語併記のレポートとしても出力でき、グループ会社や海外拠点への説明にも活用できます。
CyCognito （CyCognito）
- 攻撃者と同じ視点で外部攻撃対象領域を自動的に検出して可視化
- 継続的な脆弱性評価と曝露の検証によりリスク優先度を明確化
- 設定不要で即時可視化し世界的大企業規模のEASMに対応
Tenable Attack Surface Management （Tenable Network Security Japan株式会社）
- インターネット全体をマッピングし外部資産の可視性を拡大。
- 既知・未知の攻撃対象領域リスクを継続的に発見・評価。
- 豊富なメタデータと分析で資産のビジネス文脈理解を支援
Cortex Xpanse （パロアルトネットワークス株式会社）
- 未知のネット資産と公開サービスを能動検出しリスク管理を実現へ
- 攻撃対象領域のリスクを可視化し迅速対応を強力に支援し促進する
- 継続監視と棚卸更新で供給網全体の資産を常に把握し維持管理強化
Mandiant ASM （グーグル・クラウド・ジャパン合同会社）
- 動的IT環境全体の外部アセットを継続監視しリスク検出を可能化
- 攻撃対象領域を可視化し、脆弱性や設定ミスの把握を支援
- 複数環境のアセットを統合分析し、対策の優先度付けを支援
まとめ
ASMは、外部公開資産の可視化不足やシャドーITの放置、脆弱性管理の属人化、委託先やM&A後の資産管理といった課題の解決に役立つ仕組みです。自社の状況にあわせて機能や運用体制を比較し、無理なく続けられる製品を選ぶことが、継続的なリスク低減につながります。
