ASM（アタックサーフェスマネジメント）とは何か
ASMとは、企業が保有するサーバーやドメインなどのIT資産を外部から可視化し、脆弱性やリスクを継続的に監視する取り組みです。まずは基本的な仕組みと、注目されている背景を確認しましょう。
ASMの基本的な仕組み
ASMは、インターネット上に公開されているサーバー、ドメイン、クラウドサービスなどのIT資産を自動的に検出し、脆弱性や設定不備がないかを継続的にチェックする仕組みです。従来のセキュリティ対策が社内ネットワークを中心に守るものであったのに対し、ASMは外部からの視点で自社の攻撃対象領域を把握する点が特徴です。
多くのASMツールは、資産の検出から診断結果の可視化までを自動で行うため、専門の担当者が少ない企業でも運用しやすい設計になっています。ダッシュボード上でリスクの高い資産を一覧表示する機能を備えた製品もあり、対応の優先順位を判断しやすくなります。例えば、公開サーバーの証明書の期限切れや、使われていないサブドメインなども検出対象に含まれる場合があり、担当者が個別に調べる手間を減らせます。
ASMが必要とされる背景
クラウドサービスの利用拡大やテレワークの普及により、企業が管理すべきIT資産は年々増加しています。担当者が把握しきれていないサーバーやサブドメインが放置されると、そこが攻撃の入り口になる可能性があるため、外部から資産を継続的に把握できるASMの必要性が高まっています。
特に子会社や海外拠点を含むグループ全体の資産を管理する企業では、資産の棚卸しに多くの工数がかかっていました。ASMを導入することで、資産の把握から脆弱性の発見までを効率化し、限られた人員でもセキュリティ対策の抜け漏れを減らせるといえます。手作業による台帳管理では更新が追いつかず、新しく公開されたサーバーが見落とされることもあるため、継続的な自動監視の仕組みを取り入れる企業が増えています。
使いやすいASMツールに共通する特徴
ASMツールにはさまざまな機能がありますが、実際に運用を続けるうえでは使いやすさが重要な判断基準になります。ここでは、使いやすいASMツールに共通する三つの特徴を紹介します。
シンプルな画面設計と操作性
使いやすいASMツールの多くは、専門知識がない担当者でも直感的に操作できる画面設計を採用しています。検出された資産やリスクの情報が整理されたダッシュボードで表示され、どこに問題があるのかをひと目で確認できる工夫がされています。
また、専門用語を極力減らし、リスクの内容や対応方法を平易な言葉で説明する製品も増えています。操作画面が複雑だと確認作業が後回しになりやすいため、日常的に確認しやすいシンプルな設計であるかどうかは、選定時に確認しておきたいポイントです。検索やフィルター機能が整理されており、必要な情報にすぐたどり着ける画面かどうかも、日々の運用負担を左右する要素といえます。
初期設定が簡単な仕組み
ASMは監視対象のドメインや会社名などの基本情報を登録するだけで、資産の検出を自動的に開始できる製品が多くあります。エージェントのインストールやネットワーク構成の変更が不要なため、情報システム部門の負担を抑えながら短期間で運用を始められます。
初期設定にかかる期間は製品によって異なりますが、数日から数週間程度で運用を開始できるケースが一般的です。導入前には、設定作業に必要な情報や、自社での対応範囲について確認しておくと、スムーズに運用を開始しやすくなります。担当者が複数の拠点にまたがる場合は、権限の割り当てや初期登録の手順があらかじめ整理されているかも確認しておくとよいでしょう。
サポート体制の充実度
ASMは導入後も継続的に運用する必要があるため、困ったときに相談できるサポート体制が整っているかどうかも重要な確認ポイントです。導入時の初期設定支援や、検出されたリスクへの対応方法についての相談窓口が用意されている製品もあります。
日本語でのサポートに対応しているか、問い合わせ方法がメールのみか電話にも対応しているかなど、サポートの範囲は製品ごとに異なります。セキュリティ担当者が少ない企業ほど、サポート体制の手厚さが運用の継続しやすさに直結するといえます。導入前の相談段階からどこまで対応してもらえるかによって、契約後の安心感も変わってくるため、事前に確認しておくことをおすすめします。
ASM導入時に使いやすさを確認するポイント
ASMを選定する際は、機能の比較だけでなく、実際に運用するイメージを持って使いやすさを確認することが大切です。ここでは確認しておきたい三つのポイントを紹介します。
操作性を確認する方法
操作性を確認するには、資料だけで判断せず、実際にデモ画面やトライアルを利用して画面の見やすさや操作の流れを確認することが有効です。検出結果の一覧表示や検索機能、通知の設定方法など、日常的に使う機能を中心に試してみるとよいでしょう。
複数の担当者で運用する場合は、権限設定や画面表示の分かりやすさも確認しておくと安心です。導入後に操作方法で迷う場面を減らすためにも、契約前の段階で操作性を確認しておく手順を省略しないようにしましょう。実際の画面を触ってみることで、資料だけでは分からない操作の流れや表示の見やすさを具体的に把握できます。導入を検討している他部署の担当者にも試用してもらい、複数の視点から意見を集めておくと、導入後のミスマッチを防ぎやすくなります。
サポート内容の確認ポイント
サポート内容を確認する際は、対応時間や連絡手段に加えて、検出されたリスクへの対応方法までアドバイスを受けられるかどうかを確認しておくと安心です。導入直後は不明点が生じやすいため、初期段階での支援内容は特に重要です。
サポート窓口の対応言語や、追加費用の有無についても事前に確認しておくと、運用開始後の想定外のコストを避けやすくなります。契約前に問い合わせを行い、実際の対応スピードを確認しておく方法もあります。回答までにかかる時間や、担当者の説明が分かりやすいかどうかも、導入後の安心感を左右する重要な確認材料です。運用開始後にトラブルが発生した際、どこまで自社で対応し、どこから相談できるのかをあらかじめ整理しておくと、いざというときに落ち着いて対応できます。
初期設定・導入コストの確認
初期設定にかかる期間や作業内容は製品によって異なるため、導入前に見積もりや作業範囲を確認しておくことが重要です。エージェント不要で開始できる製品であれば、システム部門の負担を抑えながら導入を進められます。
また、初期費用と月額費用の両方を含めた総コストを確認し、自社の予算や運用規模に見合っているかを検討することも欠かせません。無料トライアルを提供している製品であれば、契約前に操作感やコストの妥当性を確認できます。監視対象の資産数によって費用が変動する製品もあるため、将来的な資産の増加も見込んで比較しておくと安心です。契約期間の縛りや解約時の条件についても事前に確認しておくと、運用状況に応じて柔軟に見直しやすくなります。
ASMと類似ツールとの違い
ASMはほかのセキュリティ対策ツールと機能が重なる部分もあるため、違いを理解したうえで導入を検討することが大切です。ここでは代表的な二つのツールとの違いを整理します。
脆弱性診断ツールとの違い
脆弱性診断ツールは、事前に指定した対象に対して診断を実施する仕組みが一般的であるのに対し、ASMは監視対象となるIT資産そのものを自動的に検出し続ける点が異なります。担当者が把握していない資産についても、継続的な監視の対象に含められる場合があります。
両者は目的が異なるため、どちらか一方だけで十分というわけではなく、資産の把握にはASM、詳細な診断には脆弱性診断ツールというように、役割を分けて併用する企業も多くあります。自社の運用体制に合わせて組み合わせを検討するとよいでしょう。すでに脆弱性診断を導入している企業でも、把握できていない資産があるとASMの導入によって新たなリスクが見つかるケースがあります。
EASMとCTEMとの関係
ASMと似た用語に、外部の公開資産を対象とするEASM（External Attack Surface Management）や、リスクへの対応状況を継続的に管理するCTEM（Continuous Threat Exposure Management）があります。EASMはASMの一部として扱われることが多く、外部公開資産の管理に重点を置いた考え方です。
CTEMはASMを含む複数の取り組みを継続的なプロセスとして運用する考え方であり、資産の把握だけでなく、リスクへの対応や改善までを一連の流れとして管理します。用語の違いを理解しておくと、製品比較の際に必要な機能を見極めやすくなります。
操作性・サポート体制で選びたいASM製品例
ここまで紹介した「操作性」「初期設定のしやすさ」「サポート体制」という観点をふまえ、実際に検討の参考になるASM製品を紹介します。
ANTERAS ASM
- 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
- サイバー攻撃の動向や手法を熟知した専門家が調査を実施
- 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定
株式会社マクニカが提供する「ANTERAS ASM」は、攻撃者と同じ目線に立った独自のAI駆動型ツールで、把握できていない資産も含めた包括的な資産発見を行うASMサービスです。セキュリティ研究センターの専門家による調査で情報のノイズを抑え、担当者による情報整理や再調査の工数を軽減できる点が特徴です。推奨される対処事項は英語併記にも対応しており、グループ会社や海外拠点への説明もしやすくなっています。サーバーに負荷をかけない調査手法を採用しているため、事前の調整作業を抑えて導入を進められます。
Qualys ASM （クォリスジャパン株式会社）
- 内部・外部を含む攻撃対象領域資産を統合的に発見管理
- 外部向けインターネット資産を継続可視化しリスク優先付け
- TruRiskで脆弱性とリスクを統合し体制強化を実現
Mandiant ASM （グーグル・クラウド・ジャパン合同会社）
- 動的IT環境全体の外部アセットを継続監視しリスク検出を可能化
- 攻撃対象領域を可視化し、脆弱性や設定ミスの把握を支援
- 複数環境のアセットを統合分析し、対策の優先度付けを支援
Cortex Xpanse （パロアルトネットワークス株式会社）
- 未知のネット資産と公開サービスを能動検出しリスク管理を実現へ
- 攻撃対象領域のリスクを可視化し迅速対応を強力に支援し促進する
- 継続監視と棚卸更新で供給網全体の資産を常に把握し維持管理強化
まとめ
ASMを選ぶ際は、機能の豊富さだけでなく、操作性や初期設定のしやすさ、サポート体制といった使いやすさのポイントも重要です。実際にデモやトライアルで操作感を確認し、自社の運用体制に合った製品を選ぶことで、セキュリティ担当者が少ない企業でも無理なく運用を続けられます。本記事で紹介したポイントを参考に、自社に合ったASMツールを検討してください。
