ASM導入前に確認すべき基本条件
ASMを導入する前に、自社がどこまでの資産を可視化したいのか、どの部署が運用を担うのかを整理しておくことが導入条件の第一歩です。目的が曖昧なまま製品選定を進めると、機能が過不足になりやすくなります。
ASM（Attack Surface Management）の基本的な仕組みと役割
ASMとは、インターネット上に公開されている自社のサーバーやドメイン、クラウドサービスなどを自動的に検出し、脆弱性やなりすましなどのリスクを継続的に把握する仕組みです。従来の脆弱性診断が一時点の調査であるのに対し、ASMは常時監視によって新たに公開された資産や設定ミスも検知できる点が特徴です。
近年はクラウド利用の拡大やリモートワークの普及により、管理者が把握していない「シャドーIT」が増えています。ASMを導入することで、こうした未把握資産を洗い出し、攻撃の入り口となり得るリスクを早期に発見しやすくなる点が導入の大きな目的です。
ASM導入前に整理すべき自社の資産範囲と目的
ASM導入条件を検討する際は、まず自社が管理する資産の範囲を洗い出すことが必要です。オンプレミスのサーバーだけでなく、クラウド上の仮想マシンやドメイン、子会社・海外拠点が保有するIT資産まで含めるかどうかで、選ぶべき製品の機能要件は大きく変わります。
加えて、導入目的が脆弱性の早期発見なのか、内部統制やコンプライアンス対応なのかによっても優先すべき機能は異なります。目的を明確にしたうえで、検知範囲やレポート形式が自社の運用体制に合っているかを確認することが、失敗しないASM導入の条件といえます。
セキュリティ要件が厳しい企業に求められるASMの導入条件
金融機関や官公庁関連企業など、セキュリティ要件が厳しい企業がASMを導入する場合は、検知精度や監査対応の観点で確認すべき条件が増えます。ここでは代表的な確認ポイントを紹介します。
セキュリティ要件が厳しい企業向けASMに必要な検知・監視機能
セキュリティ要件が厳しい企業では、検知の網羅性だけでなく、誤検知の少なさや検知後の対応フローが整っているかが重要な導入条件です。攻撃対象領域を可視化するだけでなく、リスクの重大度を判定し、優先順位をつけて対応できる機能が求められます。
また、監視の継続性も欠かせない要素です。定期スキャンだけでなく常時監視型のASMであれば、新規公開された資産や設定変更をリアルタイムに近い形で把握できます。監査時に提出できる証跡やレポートを出力できるかどうかも、選定時に確認しておくべき条件です。
ISMS認証取得企業がASM選定で確認すべきポイント
ISMS（情報セキュリティマネジメントシステム）認証を取得している企業や、これから取得を目指す企業がASMを導入する場合は、リスクアセスメントの記録や台帳との整合性を保てるかが重要な観点です。ASMで検知した資産情報を情報資産台帳に反映しやすい形式で出力できるかを確認しましょう。
具体的には、CSVやAPI経由でのデータ出力に対応しているか、検知結果を定期的なレビュー資料として活用できるかがポイントです。ISMS運用の一環として継続的な棚卸しが求められるため、レポート機能や履歴管理機能が充実したASMを選ぶと運用負荷を抑えやすくなります。
スキャン対象や検知条件をカスタマイズできるASMの選び方
企業によって公開しているドメインの数やクラウド環境の構成は異なるため、スキャン対象や検知条件を柔軟にカスタマイズできるかどうかもASM導入条件の一つです。自社が管理していない子会社ドメインを除外したり、特定のポート・プロトコルに絞って監視したりできると、誤検知の削減につながります。
さらに、検知したリスクの重大度判定基準を自社のポリシーに合わせて調整できる製品であれば、運用担当者の負担を軽減しやすくなります。導入前のトライアルなどで、実際にカスタマイズ範囲を確認しておくことをおすすめします。加えて、除外設定や重大度の変更履歴が記録として残る製品であれば、監査時の説明資料としても活用しやすく、継続的な運用改善にもつなげやすくなります。
API連携やクラウド資産管理に対応するASM導入時の機能要件
既存のセキュリティ運用ツールと連携させたい企業や、クラウド環境を積極的に利用している企業がASMを導入する場合は、API連携やクラウド対応範囲を確認することが導入条件として重要です。
API連携が必須の場合に確認すべきASMの機能要件
SIEM（セキュリティ情報イベント管理）やチケット管理システムなど、既存の運用ツールとASMを連携させたい場合は、APIが公開されているか、どのようなデータ形式で検知結果を取得できるかを確認する必要があります。API連携が可能であれば、検知結果を自動的に他システムへ取り込み、対応フローを効率化しやすくなります。
加えて、API連携の際にはレート制限や取得できるデータ項目の範囲も導入条件として確認しておくべき点です。連携先システムの仕様に対応できるかを事前にベンダーへ確認し、必要に応じてトライアル環境で連携動作を検証することをおすすめします。
AWS/Azureなどクラウド環境の資産も管理できるASMの条件
クラウド環境を利用している企業では、オンプレミス資産だけでなくAWSやAzureといったクラウドサービス上の資産も監視対象に含められるかが重要な導入条件です。クラウド特有の設定ミスや公開範囲の誤りは、外部からの攻撃につながりやすいリスクとして知られています。
ASM製品によっては、クラウドプロバイダーのAPIと連携し、契約しているクラウドリソースを自動的に検出できるものもあります。マルチクラウド環境を運用している企業は、対応するクラウドサービスの種類や、リソースの検出範囲がどこまで及ぶかを事前に確認しておくと安心です。また、開発環境やテスト環境で一時的に作成したリソースが放置されるケースも多くあります。こうした一時的な資産まで継続的に検出できるかどうかも、クラウド活用が進む企業にとって見落とせない条件です。
海外拠点を持つ企業がASM導入時に検討すべき多言語対応
グローバルに事業を展開している企業では、海外拠点のIT資産管理や、現地担当者との情報共有のしやすさもASM導入条件として重要なポイントです。多言語対応や国産・海外製の違いを確認しましょう。
海外拠点向けに多言語対応しているASMの選び方
海外拠点を持つ企業がASMを導入する場合、管理画面やレポートが多言語に対応しているかどうかは重要な確認事項です。現地の担当者が母国語で検知結果を確認できれば、対応スピードの向上につながります。また、タイムゾーンをまたいだアラート通知の設定が可能かどうかも運用面で確認しておきたいポイントです。
さらに、海外拠点独自のドメインやクラウド契約が存在する場合、それらを一元的に監視対象へ追加できる柔軟性も求められます。グループ全体のIT資産を統一的に管理したい企業は、拠点ごとの権限設定機能が用意されているかも確認するとよいでしょう。
国産ASMと海外製ASMそれぞれの導入条件の違い
国産ASMは日本語サポートや国内法制度に沿った運用支援を受けやすい一方、海外製ASMはグローバル規模での検知実績や豊富な連携機能を備えている場合があります。どちらを選ぶかは、自社が国内中心の運用か、海外拠点を含めた統合管理を目指すかによって判断が分かれます。
費用面やサポート体制、日本語ドキュメントの充実度も比較すべき観点です。トライアル導入を行い、検知精度やレポートの分かりやすさ、問い合わせ対応の速さなどを実際に確認したうえで、自社の運用体制に合うASMを選定することをおすすめします。
導入条件を踏まえて比較したいASM製品
ここまで紹介したセキュリティ要件・ISMS対応・API連携・クラウド資産管理・海外拠点対応という導入条件を踏まえ、代表的なASM製品をピックアップしました。自社の運用体制や拠点構成に照らして比較検討する際の参考にしてください。
ANTERAS ASM
- 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
- サイバー攻撃の動向や手法を熟知した専門家が調査を実施
- 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定
株式会社マクニカが提供する「ANTERAS ASM」は、AI駆動型ツールと専門家による分析を組み合わせて外部公開資産を網羅的に検出するASMです。攻撃者目線での調査により、VPN機器やネットワーク機器など攻撃の起点になりやすい高リスク資産を優先的に洗い出します。脅威インテリジェンスや最新の攻撃動向を踏まえたリスクの優先順位付け、資産の差分検知、アラート通知、レポートの自動出力、チケット管理システムとの連携機能を備え、海外拠点を含めた資産の洗い出しにも対応しており、セキュリティ要件の厳しい企業の運用にも活用しやすい製品です。
Qualys ASM （クォリスジャパン株式会社）
- 内部・外部を含む攻撃対象領域資産を統合的に発見管理
- 外部向けインターネット資産を継続可視化しリスク優先付け
- TruRiskで脆弱性とリスクを統合し体制強化を実現
Mandiant ASM （グーグル・クラウド・ジャパン合同会社）
- 動的IT環境全体の外部アセットを継続監視しリスク検出を可能化
- 攻撃対象領域を可視化し、脆弱性や設定ミスの把握を支援
- 複数環境のアセットを統合分析し、対策の優先度付けを支援
CyCognito （CyCognito）
- 攻撃者と同じ視点で外部攻撃対象領域を自動的に検出して可視化
- 継続的な脆弱性評価と曝露の検証によりリスク優先度を明確化
- 設定不要で即時可視化し世界的大企業規模のEASMに対応
Tenable Attack Surface Management （Tenable Network Security Japan株式会社）
- インターネット全体をマッピングし外部資産の可視性を拡大。
- 既知・未知の攻撃対象領域リスクを継続的に発見・評価。
- 豊富なメタデータと分析で資産のビジネス文脈理解を支援
Cortex Xpanse （パロアルトネットワークス株式会社）
- 未知のネット資産と公開サービスを能動検出しリスク管理を実現へ
- 攻撃対象領域のリスクを可視化し迅速対応を強力に支援し促進する
- 継続監視と棚卸更新で供給網全体の資産を常に把握し維持管理強化
まとめ
ASMの導入条件は、自社の資産範囲の明確化、セキュリティ要件への適合、API連携やクラウド対応の可否、そして海外拠点向けの多言語対応など多岐にわたります。ISMS対応や検知条件のカスタマイズ性も踏まえ、自社の目的に合う製品を比較したうえで導入を検討してください。トライアルを活用し、実際の運用イメージを確認してから選定することをおすすめします。
