ASMとは？攻撃者視点で自社の「見えない入口」を管理する方法をわかりやすく解説

「自社のIT資産のうち、インターネットから見えているものをすべて挙げられますか？」——この問いに即答できる企業は多くありません。Webサイト、VPN装置、クラウド上のサーバ、そして退役したはずの検証環境。攻撃者はこうした「外から見える入口」を常にスキャンしており、サイバー被害の多くは公開された入口から始まっています。本記事では、その対策として注目されるASM（Attack Surface Management／攻撃対象領域管理）を、経済産業省のガイダンスに沿ってわかりやすく解説します。

ASMとは？

ASM（Attack Surface Management）とは、組織の外部（インターネット）からアクセスできるIT資産を発見し、そこに存在する脆弱性などのリスクを継続的に検出・評価する取り組みです。日本語では「攻撃対象領域管理」と訳されます。経済産業省は2023年5月に「ASM導入ガイダンス」を公表し、次のように定義しています。

組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス

経済産業省「ASM（Attack Surface Management）導入ガイダンス」（2023年5月）

ポイントは2つです。ひとつは「攻撃者と同じ視点（外部）から見る」こと、もうひとつは「継続的に行う」こと。自社が把握している資産だけでなく、管理台帳に載っていない資産（いわゆるシャドーIT）まで発見の対象になる点が、従来の資産管理との大きな違いです。

なぜ今ASMが必要なのか

1. 攻撃の起点は「外部に公開された入口」に集中している

警察庁の資料では、ランサムウェア被害の感染経路としてVPN機器やリモートデスクトップからの侵入が継続的に多く確認されています。攻撃者は高度な手口を使う前に、まず「外から見えていて、対策が甘い入口」を探します。しかも被害は大企業に限らず、中小企業が過半を占めているのが実態です。

2. クラウド化で「把握していない資産」が増えている

クラウドやSaaSの利用が広がったことで、部門が独自に立てたサーバ、検証用に作って放置されたドメイン、退役予定のまま残った機器など、情報システム担当が把握しきれない資産が生まれやすくなりました。把握していない資産には、当然パッチも当たりません。攻撃者にとっては、そこが一番の狙い目です。

3. 年1回の診断では攻撃のスピードに追いつかない

新しい脆弱性は毎日のように公表され、公表から悪用開始までの期間は年々短くなっています。年1回の脆弱性診断だけでは、次の診断までの間に生まれた「穴」は放置されたままです。スポットの検査に加えて、外部からの見え方を継続的に監視する仕組みが求められています。

ASMの3つのプロセス

経済産業省のガイダンスでは、ASMは次の3つのプロセスで整理されています。

1. 攻撃面の発見：ドメイン名やIPアドレスを起点に、外部からアクセス可能なIT資産を洗い出す
2. 攻撃面の情報収集：発見した資産のOS・ソフトウェア・バージョン・開いているポートなどの情報を収集する
3. 攻撃面のリスク評価：収集した情報をもとに、既知の脆弱性の有無などのリスクを評価する

重要なのは、これを1回で終わらせず繰り返し実施すること、そして評価で見つかったリスクを対処のプロセスにつなげることです。発見と評価だけでは、リスクは1つも減りません。

脆弱性診断・脆弱性管理との違い

観点	ASM	脆弱性診断	脆弱性管理
主な対象	未把握を含む外部公開資産	指定したシステム・資産	台帳で管理している資産
視点	攻撃者と同じ外部視点	検査員による詳細検査	管理者視点での網羅管理
実施頻度	継続的（常時）	スポット（年1回など）	継続的（日常運用）
主な目的	知らない資産・入口の発見	特定システムの深掘り検証	既知資産のリスク低減の仕組み化

3つは競合ではなく補完関係にあります。ASMで「知らなかった入口」を見つけ、重要なシステムは診断で深掘りし、日々の対処は脆弱性管理のプロセスで回す。こうして内部・外部の資産を一元的に管理する考え方はエクスポージャー管理と呼ばれ、セキュリティ運用の主流になりつつあります。

なお「ASM」という言葉はツールやベンダーによって指す範囲が異なり、外部公開資産を対象とするものは正確にはEASM（External ASM）と呼ばれます。本記事では経済産業省のガイダンスと同じく、外部公開資産を対象とする意味でASMを使っています。

ASMを始めるには

ステップ1：自社のドメインとグローバルIPを棚卸しする

出発点は、契約中のドメイン一覧、公開サーバ、クラウドの契約の洗い出しです。これだけでも「思ったより入口が多い」ことに気づくはずです。過去のキャンペーンで取得したドメインや、退職者が立てた検証環境が見つかることも珍しくありません。

まずは次の項目を一覧化するところから始めましょう。

• 契約中・過去利用のドメイン、サブドメイン
• グローバルIPアドレス
• VPN、リモートデスクトップ、公開管理画面
• クラウド上の公開サーバ・公開ストレージ
• SSL証明書
• 検証用・キャンペーン用に作成したまま残っている環境

ステップ2：ツール・サービスを選ぶ

ASMは外部からの調査が基本で、エージェントの導入などシステム側の変更なしに始められます。選定の際は、資産の発見精度、リスク評価の根拠のわかりやすさ、そして脆弱性管理と同じ基盤で扱えるかどうかを確認するとよいでしょう。

ステップ3：「見つけた後」の運用を決める

ASMは見つけて終わりではありません。発見された資産を誰が確認するか、リスクをどの基準で判断するか、誰がいつまでに対処するか。この運用設計こそが、導入の成否を分けます。

実施時の注意点

ASMは外部から見える資産を調査するため、対象範囲を誤ると第三者の環境を調査してしまうおそれがあります。実施前に、自社が管理するドメイン・IP範囲・クラウド契約を確認し、必要に応じて関係者へ事前に周知しておくことが重要です。また、見つかったリスクの判断基準や対処責任者を決めておかないと、アラートが増えるだけで改善につながりません。

ASMのよくある質問

Q. ASMは脆弱性診断の代わりになりますか？

いいえ。ASMは広く浅く、継続的に見張る仕組みです。特定のシステムを深く検査するのは脆弱性診断の役割で、両者は使い分けが必要です。

Q. ツールを入れればASMは完了ですか？

完了ではありません。ASMの本体は、発見した資産とリスクに対処するプロセスです。運用の設計なしにツールだけ導入しても、アラートが積み上がるだけです。

Q. ASMは大企業だけに必要なものですか？

いいえ。攻撃者は企業規模を選ばず、公開された入口を機械的に探します。むしろセキュリティ専任者を置けない中堅・中小企業こそ、仕組みで守る効果が大きい領域です。

まとめ

ASMとは、攻撃者と同じ外部の視点で自社のIT資産を発見し、リスクを継続的に検出・評価する取り組みです。クラウド化で「把握していない資産」が増え、攻撃の起点が外部公開された入口に集中している今、年1回の診断を補完する仕組みとして重要性が高まっています。まずは自社のドメインの棚卸しから始めてみてください。

PATでは、脆弱性管理とASMを同じ基盤で仕組み化するサービス「継続的な脆弱性管理とASM」を提供しています。「まず、自社が外からどう見えているのかを知りたい」という段階のご相談も歓迎です。

参考資料

• 経済産業省「ASM（Attack Surface Management）導入ガイダンス」（2023年5月）
• 警察庁「サイバー空間をめぐる脅威の情勢等」