ASMの基本機能と外部公開資産の自動発見
ASMの土台となるのが、外部公開資産を自動で発見する機能です。ここでは発見の仕組みと、精度を高めるための工夫について説明します。
外部からアクセス可能な資産を洗い出す仕組み
ASMは、ドメイン情報やIPアドレス、証明書情報などを手がかりに、インターネット上に公開されているサーバーやクラウド環境、サブドメインを自動的に探索します。担当者が申告した資産だけでなく、部署ごとに個別で立ち上げたサービスや、契約管理から漏れていた古い環境まで発見できる点が特長です。
特に近年はクラウドサービスの利用が広がり、情報システム部門が把握していない「シャドーIT」が増える傾向にあります。例えば、事業部門が独自に契約したクラウドの検証環境や、キャンペーン用に短期間だけ立てたウェブサイトなどは、管理台帳に残らないまま公開され続けることがあります。ASMはこうした未把握資産を継続的に検出することで、攻撃者が狙いやすい入り口をあらかじめ洗い出し、対策の起点を作る役割を担います。
発見精度を高める自動化の仕組み
資産の発見精度は、収集する情報源の広さと更新頻度によって大きく変わります。多くのASMは、DNS情報や証明書の透明性ログ、検索エンジンのインデックスなど複数の情報源を組み合わせ、人手では追いきれない範囲を自動的に走査する構成をとっています。
また、一度発見した資産を台帳のように蓄積し、変化があった箇所だけを効率的に再確認する仕組みを持つ製品も存在します。過去の調査結果と最新の調査結果を比較する機能を備えていれば、新しく追加された資産や、逆に廃止されたはずなのに残っている資産を区別して確認できます。担当者ごとに資産の管理範囲が分かれている組織でも、発見結果を一つの画面にまとめて確認できれば、全体像を把握しやすくなります。これにより、担当者が全件を一から見直す手間を減らしながら、新規の公開資産が発生した際にも早い段階で気づける体制を整えやすくなります。
ASMによる脆弱性の自動スキャンとリスクの優先度付け機能
資産を発見したあとは、そこに存在する脆弱性を確認し、対応の順番を決める工程が必要です。ここでは自動スキャンと優先度付けの考え方を紹介します。
発見した資産への自動脆弱性スキャン
ASMは発見した資産に対して、既知の脆弱性情報やソフトウェアのバージョン情報などを突き合わせ、危険な設定や未対応の脆弱性が残っていないかを自動でスキャンします。手動での棚卸しでは見落としやすい設定ミスや、放置されたテスト環境の露出なども検出対象です。
スキャンの結果は一覧化され、どの資産にどのような問題があるかを担当者が横断的に確認できる形で提示されます。例えば、暗号化されていない通信の使用や、古いバージョンのソフトウェアが稼働している状況、管理画面が外部から閲覧できる状態になっているといった問題を検出対象とします。定期的にスキャンを繰り返すことで、新しく公開された資産や設定変更によって生まれたリスクにも対応しやすくなります。
脆弱性のリスクを優先度付けする基準
発見される脆弱性の数は多くなりやすく、すべてに同時対応することは現実的ではありません。そこでASMは、脆弱性の深刻度や悪用の可能性、資産の重要度などを組み合わせてスコア化し、対応すべき順序を示す機能を備えています。
この優先度付けにより、限られた人員でも影響の大きいリスクから着手する判断がしやすくなります。例えば、対外的な影響が小さい社内向け検証環境よりも、顧客情報を扱う可能性のある公開システムを優先するといった判断がしやすくなります。攻撃者が実際に悪用している脆弱性情報を反映する製品もあり、外部の脅威動向とあわせてリスクを判断できる点は実務上の助けとなります。担当者の経験や勘に頼らず、一定の基準でリスクを並べ替えられる点も、組織として対応方針を統一するうえで役立ちます。
資産の変化を継続的に監視するASMのモニタリング機能
ASMは一度きりの調査で終わるものではなく、資産の状態を継続的に見守る運用に向いています。ここでは監視とアラート通知の仕組みを紹介します。
継続的な監視で変化を捉える仕組み
ASMは発見した資産の情報を定期的に再確認し、公開範囲の変化や新しいサービスの追加、設定変更などを継続的に監視します。組織の変化やクラウド利用の広がりに合わせて公開資産は日々増減するため、一度きりの棚卸しでは状況を正確に保つことが困難です。
継続的な監視により、以前は存在しなかった資産や、閉鎖したはずのサービスが再び公開されているといった変化を早い段階で捉えられます。人事異動やシステム統廃合のタイミングで発生しやすい、管理者不在の資産を見つけるきっかけにもなります。監視の頻度は製品によって異なり、日次で確認するものもあれば、週単位でまとめて確認するものもあるため、自社の運用ペースに合わせて選ぶことが大切です。運用担当者は変化のあった箇所を中心に確認できるため、限られた時間でも効率的に状況を把握できます。
新たなリスクを知らせるアラート通知機能
資産に新たな脆弱性が見つかった場合や、想定外の資産が公開された場合に、担当者へ自動で通知するアラート機能もASMの重要な機能の一つです。メールやチャットツールと連携して通知する製品もあり、日々の業務の中で気づきやすい形で情報が届く工夫がされています。
アラートには対象の資産情報やリスクの概要が含まれることが多く、通知を受けた担当者はそのまま状況確認や対応の検討に移りやすくなります。深刻度の高いリスクだけを即時通知し、軽微な変化は日次や週次でまとめて報告するなど、通知の粒度を分けて運用する方法もあります。通知条件を調整できる製品を選べば、担当者ごとに重要度の高い情報に絞って受け取ることも可能です。
経営層向けにわかりやすく伝えるASMのレポート出力機能
セキュリティの状況は、現場だけでなく経営層にも共有される情報です。ここではレポート出力機能の内容と活用方法を紹介します。
レポートに含まれる主な内容
ASMのレポート機能は、発見した資産の数や脆弱性の件数、対応状況などをグラフや一覧形式でまとめ、専門知識がない人にも状況が伝わる形式で出力します。時系列での推移を示すことで、対策の効果や新たなリスクの発生傾向を確認できる製品もあります。
専門用語を減らし、リスクの深刻度を色分けや点数で示すレポートは、セキュリティの現場担当者以外にも状況を説明しやすくなる点が利点です。前回のレポートと比較できる形式であれば、対策によってリスクの件数がどれだけ減ったかも示しやすくなります。部門別や拠点別にリスクの状況を分けて出力できる製品もあり、組織のどこに課題が集中しているかを把握する材料にもなります。定期的なレポート出力を運用に組み込むことで、対策状況の記録としても活用できます。
レポートを経営判断に活かす方法
経営層向けのレポートは、投資判断や体制整備の議論を進める材料としても役立ちます。外部から見えるリスクの状況を定量的に示すことで、セキュリティ対策の必要性を数字とともに説明でき、社内での合意形成を進めやすくなります。
また、監査や取引先への説明資料としてレポートを活用する場面も想定されます。セキュリティ対策の予算を検討する会議で、外部から見えるリスクの推移を示す資料があれば、対策の必要性を具体的な根拠とともに伝えやすくなります。取引先からセキュリティ体制に関する確認を求められた際にも、客観的なデータをもとに説明できる資料として役立ちます。定期的な報告を通じて対策の進捗を記録しておくことは、組織全体でセキュリティ対策の状況を共有するうえでも重要なポイントです。
資産発見から経営層報告まで揃うASM製品
ここまで紹介した自動発見・脆弱性スキャン・優先度付け・継続監視・アラート通知・レポート出力という一連の機能を、どこまでカバーしているかを基準に、代表的なASM製品を紹介します。
ANTERAS ASM
- 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
- サイバー攻撃の動向や手法を熟知した専門家が調査を実施
- 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定
株式会社マクニカが提供する「ANTERAS ASM」は、独自開発のAI駆動型ツールを活用し、本社ドメインから関連会社や海外拠点のドメイン・IPアドレスまで、MXレコードやWhois情報を追跡して未管理資産を含め幅広く洗い出せるASMです。攻撃者目線でのリスク判定に基づき、VPNやファイアウォール機器などクリティカルなリスクを中心に通知することで、通知のノイズを抑えた運用が可能です。差分検知による継続的な変化の追跡やアラート管理機能を備え、推奨対処事項を英語併記でまとめたレポートも出力できるため、グループ会社や海外拠点への説明にも活用しやすい点が特徴です。
Qualys ASM （クォリスジャパン株式会社）
- 内部・外部を含む攻撃対象領域資産を統合的に発見管理
- 外部向けインターネット資産を継続可視化しリスク優先付け
- TruRiskで脆弱性とリスクを統合し体制強化を実現
Mandiant ASM （グーグル・クラウド・ジャパン合同会社）
- 動的IT環境全体の外部アセットを継続監視しリスク検出を可能化
- 攻撃対象領域を可視化し、脆弱性や設定ミスの把握を支援
- 複数環境のアセットを統合分析し、対策の優先度付けを支援
CyCognito （CyCognito）
- 攻撃者と同じ視点で外部攻撃対象領域を自動的に検出して可視化
- 継続的な脆弱性評価と曝露の検証によりリスク優先度を明確化
- 設定不要で即時可視化し世界的大企業規模のEASMに対応
Cortex Xpanse （パロアルトネットワークス株式会社）
- 未知のネット資産と公開サービスを能動検出しリスク管理を実現へ
- 攻撃対象領域のリスクを可視化し迅速対応を強力に支援し促進する
- 継続監視と棚卸更新で供給網全体の資産を常に把握し維持管理強化
まとめ
ASMは、外部公開資産の自動発見から脆弱性スキャン、優先度付け、継続的な監視、アラート通知、経営層向けレポートまでを一貫して支援するツールです。自社で把握しきれていない資産のリスクを可視化し、限られた人員でも効率的に対策を進められる点が特徴といえます。製品ごとに得意な機能や対応範囲が異なるため、自社の運用体制や目的に合わせて比較検討することをおすすめします。
