ASMとは？公開資産を見つけて管理する仕組みと運用のポイント

サイバー攻撃が高度化・多様化する現代において、従来の境界型防御だけでは十分とはいえません。攻撃者の視点に立った対策として、ASM（Attack Surface Management） が注目されています。これは、インターネットからアクセス可能な自社のIT資産（攻撃対象領域）を可視化・管理し、リスクを継続的に評価・対処するためのプロセスです。経済産業省も2023年に「ASM（Attack Surface Management）導入ガイダンス」を公開しています。本記事では、ASMの基本から、CSPM、SBOM、DASTと組み合わせる効果、そして実践的な導入ステップまでを、経済産業省のガイダンスを踏まえて解説します。

目次

• ASMとは何か？なぜ今必要なのか？
• ASM（Attack Surface Management）導入ガイダンスで見るASMの基本プロセス
• ASMの主なメリット：攻撃対象の可視化から業務改善まで
• ASMの限界？
• 【ASMと組み合わせる対策】CSPM、SBOM、DASTを連携させたリスク管理
• ASM導入のステップバイステップガイド
• よくある質問（FAQ）
• まとめ：ASMを起点に、組み合わせて進めるセキュリティ対策

ASMとは何か？なぜ今必要なのか？

ASM（Attack Surface Management）は、組織のITエコシステムに対する脅威を発見、評価、軽減するための包括的なアプローチです。具体的には、外部（インターネット）からアクセス可能なIT資産を発見し、脆弱性を特定して継続的に評価する仕組みです。攻撃対象領域管理とも呼ばれ、組織が保有する外部公開資産を攻撃者の視点から把握することが核心となります。

外部公開資産を対象とするASMでは、インターネットから得られる情報を使い、自組織に関係するドメインやIPアドレス、公開サービスなどを発見します。

なぜ今ASMが必要なのか

公開サーバなどの外部公開資産は、サイバー攻撃の入口として狙われやすい対象です。同時に、シャドーITやクラウド資産の拡大により、企業が把握していない攻撃対象が残る状況も珍しくありません。従来の内部ネットワーク中心の防御だけでは、これらの脅威に対応しきれません。

攻撃者の視点から自社の情報資産を把握・管理し、セキュリティ対策が行われていない領域を発見することが、現代のサイバーセキュリティにおいて欠かせなくなっています。特に、リモートワークの普及やクラウドシフトの加速により、企業のIT資産は複雑化・分散化しており、ASMの重要性はますます高まっています。

たとえば、新しいサービスのために作ったサブドメイン、担当変更後も残る公開サーバー、委託先が運用するサイトなどは、管理台帳への反映が遅れることがあります。ASMは外から見える情報を基に探索し、台帳との差分を確認する手掛かりを得るために使えます。

ASM（Attack Surface Management）導入ガイダンスで見るASMの基本プロセス

経済産業省は2023年5月に「ASM（Attack Surface Management）導入ガイダンス」を公開しています。外部から見える情報を活用するASMの特徴や留意点が説明されており、自社の既存対策との関係を考える参考になります。

このガイダンスでは、ASMの実施プロセスを3つの主要なステップに分けて解説しています。

(1) 攻撃面（Attack Surface）の発見

最初のステップは、外部（インターネット）からアクセス可能な自組織のIT資産を発見することです。ガイダンスでは、組織名から自組織が管理するドメイン名を特定し、DNSの検索やツールを使って関連するIPアドレスやホスト名の一覧を作る流れが説明されています。発見の対象には、公開されているWebサーバ、APIエンドポイント、クラウドストレージ、DNSレコード、SSL証明書などが含まれます。IT部門が把握していない資産や、部門ごとに独自に導入したシステムが存在することもあるため、この発見プロセスは極めて重要です。

ただし、発見された資産がすべて自社の所有物とは限りません。共有ホスティングや委託先の資産などが含まれる場合もあるため、契約情報や管理担当者と照合して帰属を確認します。

(2) 攻撃面の情報収集

発見した資産について、外部から確認できる情報を体系的に収集します。ガイダンスでは、OSやソフトウェアとそのバージョン、オープンなポート番号などが例に挙げられており、調査対象のシステムに影響を与えないよう、通常のアクセスの範囲で行うことが想定されています。このほか、公開されているサービス、意図せず外部に公開されている設定、暗号化の不備なども、外部から確認できる範囲で把握します。自動化ツールを活用すると、継続的かつ効率的に情報を集められます。

(3) 攻撃面のリスク評価

収集した情報を、公開されている既知の脆弱性情報（CVEなど）と突き合わせ、脆弱性が存在する可能性を識別します。バージョン情報などからの推定であるため、実際に脆弱性があるかは個別に確かめる必要があり、誤検知や見逃しが生じることもあります。ガイダンスの取組事例では、ASMツールのスコアリング機能によって関係者間で対応優先度の共通認識を持てたことが紹介されており、限られたリソースを重要な脆弱性対策に集中させる助けになります。リスク評価においては、脆弱性の深刻度だけでなく、資産の重要性や攻撃の可能性も考慮に入れる必要があります。

ASMの主なメリット：攻撃対象の可視化から業務改善まで

攻撃対象の包括的な可視化と管理

ASMの最大のメリットは、企業が把握していないシステムや外部露出資産を特定できることです。シャドーIT、忘れ去られた開発環境、M&Aで引き継いだシステムなど、管理から漏れている資産を発見し、セキュリティリスクを低減できます。

継続的な監視の実現

一度きりのスナップショットではなく、定期的な探索で変化を追うことで、新たに追加された資産や、設定変更によって生じた脆弱性に気づきやすくなります。攻撃者に悪用される前に対策を講じるための時間を確保できる点が、継続的な監視の価値です。

効率的なリスク評価と優先順位付け

スコアリングによるリスク評価により、最も危険なリスクにリソースを集中できます。すべての脆弱性に対して均等にリソースを割くのではなく、ビジネスへの影響度が高い脆弱性から優先的に対処することで、効率的なセキュリティ運用が実現します。

コンプライアンスの強化

ASM自体が規制への準拠を判定するわけではありませんが、外部公開資産を把握しておくことは、規制要件や業界標準に沿った管理を進めるうえでの前提になります。特に、個人情報保護法やGDPR等のデータ保護規制への対応では、個人データを扱うシステムがどこに公開されているかを把握し、適切に管理することが求められます。

クラウド・SaaSのセキュリティ強化

クラウドサービスやSaaSアプリケーションの利用が拡大する中、これらの資産に対するセキュリティ管理も重要性を増しています。ASMにより、クラウドで構築した外部公開資産の把握とセキュリティリスクへの対応を進められます。

隠れたメリット：業務改善・組織改革・経営支援

ASMの導入は、セキュリティ強化だけでなく、業務改善、組織改革、経営支援といった面にも波及効果をもたらす可能性があります。外部公開資産の可視化は、使われていないシステムの整理や重複投資の見直し、IT戦略の立案の材料としても参考になります。

ASMの限界？

ASMで資産と脆弱性を「見つける」ことはできても、「どう対処するか」という課題が残ります。各領域（クラウド、アプリケーション、ソフトウェアサプライチェーン）の専門的な対策を組み合わせることで、より包括的なセキュリティ体制を構築できます。

また、ASMは外部から見える情報を基にするため、アプリケーション層の脆弱性管理やクラウドの詳細な設定の点検は対象外となります。外部から観測できない社内機器や内部ネットワークの情報も、外部探索だけでは十分に集まりません。内部を走査するスキャナーや既存の管理情報など、環境に応じた方法を併用します。

複雑なIT環境では、こうした領域を補う仕組みを統合的に運用する必要性が高まっています。サイロ化された機能同士の結果を関連付けて分析できれば、単一のツールでは見逃しやすいリスクにも気づきやすくなり、より効果的な対策を実施できます。

【ASMと組み合わせる対策】CSPM、SBOM、DASTを連携させたリスク管理

CSPM（Cloud Security Posture Management）との連携

ASMが外部から見えるクラウド資産を把握する一方で、CSPMはクラウドアカウントの設定を継続的に点検し、設定ミスやポリシー違反を可視化します。外部からの見え方とクラウド内部の設定を併せて確認することで、クラウド環境のセキュリティ態勢を強化できます。

CSPMを組み合わせると、クラウドインフラストラクチャの設定ミス、過度に寛容なアクセス権限、暗号化されていないストレージ、セキュリティ基準への違反などを検出できます。ASMでクラウド連携を利用している場合は、同じクラウド環境の設定点検にCSPMを使うことで、公開資産と設定リスクを資産単位で照合しやすくなります。

SBOM（Software Bill of Materials）との連携

SBOM（ソフトウェア部品表）は、ソフトウェアを構成するコンポーネントとバージョンを一覧化したものです。ASMやCSPMが特定したアプリケーションやクラウドリソースについて、SBOMを脆弱性情報と照合すると、使用しているオープンソースソフトウェアやサードパーティライブラリに含まれる既知の脆弱性を把握できます。構成情報は、リポジトリやコンテナイメージ、稼働環境などから集めます。

この連携により、開発段階で脆弱性に気づきやすくなり、リリース直前の手戻りを減らせます。依存関係にあるコンポーネントも含めて把握できるため、ソフトウェアサプライチェーン攻撃への備えとしても役立ちます。

DAST（Dynamic Application Security Testing）との連携

ASMが検出したWebアプリケーションに対して、DASTによって動的に脆弱性を検出します。OWASP Top 10に代表される一般的なWebアプリケーションの脆弱性を、実際の攻撃を模したリクエストを送りながら確認できます。

アプリケーションの動的セキュリティテストを定期的に実施することで、SQLインジェクション、クロスサイトスクリプティング（XSS）、認証・認可の不備などを発見できます。静的解析だけでは見つけにくい実行時の脆弱性を検出し、アプリケーションのセキュリティを高められます。

ASMで診断対象の候補を見つけ、必要な範囲に診断を行うと、対象選定と詳細確認をつなげられます。ただし、DASTは疑似攻撃を伴うため、実際に診断する前には、所有者や委託先との実施範囲の確認が必要です。

統合による相乗効果

発見（ASM）→ 分析（CSPM/SBOM）→ 検証（DAST）→ 修正のサイクルを、同じ資産を軸につなげられることが組み合わせの利点です。対象の資産と担当者を共有しながら進めることで、セキュリティ管理の一元化やDevSecOpsへの組み込み、開発チームとの連携も進めやすくなります。

各ツールから得られた情報を資産ごとに関連付けて確認できれば、全体のセキュリティ状況を把握しやすくなり、リスクに基づく判断の精度も上がります。一方で、結果が別々の画面に並ぶだけでは、調査や担当者への引き継ぎの手間は残ります。効果を確かめる際は、アラート件数だけでなく、対象資産・所有部門・修正状況をつなげられるかを見ることが大切です。

ASM導入のステップバイステップガイド

ここでは、ASMを導入する際の一般的な進め方を5つのステップに整理します。

ステップ1：目的と範囲の定義

経営層の関与のもと、まずASM導入の目的を明確にします。セキュリティリスクの低減、コンプライアンス強化、インシデント対応の迅速化など、組織の優先課題を特定します。次に、対象となる資産の範囲を定義します。全社的な展開か、特定の事業部門から始めるか、段階的アプローチを検討します。探索の起点にするドメインやIPアドレス、クラウドアカウントも、この段階で洗い出しておきます。また、ASMの運用に関わる主要な関係者（情報システム部門、開発部門、経営層など）を特定し、連携体制を意識します。

ステップ2：ツール/サービスの選定

組織のニーズに合ったASMツールやサービスを選定します。CSPMやSBOM、DASTと組み合わせて運用できるかも重要な検討項目です。評価基準として、カバレッジの広さ、検出精度、他の機能（CSPM、SBOM、DAST）との連携、レポーティング機能、コスト（料金の集計単位を含む）、サポート体制、既存のセキュリティツールやシステムとの連携性などを考慮します。可能であれば、複数の候補ツールでPoC（概念実証）を実施し、自社の環境での有効性や操作性を評価することを推奨します。

ステップ3：導入と初期スキャンの実行

選定したツールに探索の起点となるドメインやIPアドレス、クラウド連携を登録し、初期スキャンを実行します。この段階で、組織が把握していなかったシャドーITや、誤った設定、古いシステムなどが見つかることがあります。見つかった資産は、自社との関係と運用担当を確認したうえで、今後の継続的監視と改善活動の起点となる「ベースライン」として詳細に分析し、文書化して確立します。

ステップ4：リスク評価と優先順位付け

スコアリングを活用してリスクを評価し、対応の優先順位を決定します。この際、技術的な脆弱性の深刻度だけでなく、「ビジネスへの影響度（事業継続性、情報漏洩リスクなど）」、「インターネットからの到達可能性」、「対応の容易さ」などを総合的に考慮した評価基準を策定します。

ビジネスクリティカルな資産、外部からアクセス可能な資産、既知の脆弱性が存在する資産などを優先的に対処します。リスク評価マトリクスを作成し、情報システム部門、開発部門、事業部門など関係者間で共有し、合意形成を図ります。必要に応じて、外部専門家の知見も活用し、評価の精度を高めることを検討します。

ステップ5：是正措置と継続的監視の体制構築

識別されたリスクに対する是正措置を、優先順位に基づいて速やかに実施します。不要な公開の停止やソフトウェアの更新などを行い、次回の確認で変更が反映されたかを確かめます。是正措置の進捗状況は定期的に追跡し、効果を測定します。

一度の探索で全資産を把握できるとは限りません。新設・廃止・構成変更を追い、対象の追加や除外の理由を記録する継続運用が必要です。ASMの有効性を維持・向上させるため、定期的なレビューと改善活動も実施します。検出されたリスクの傾向分析、ツールの設定見直し、最新の脅威情報への対応、経営層への定期的な報告などを通じて、ASMプロセス全体の成熟度を高めていきます。

よくある質問（FAQ）

Q: ASMと脆弱性診断の違いは？

A: 脆弱性診断は、決めた対象の動作を検査して脆弱性を検出します。これに対しASMは、把握できていない資産も含めて、外部から見える攻撃対象領域を発見・管理します。ASMで診断対象の候補を見つけ、必要な範囲に脆弱性診断を行うと、対象選定と詳細確認をつなげられます。実際に診断する前には、所有者や委託先との実施範囲の確認が必要です。

Q: CSPMだけではダメなのか？

A: CSPMは連携したクラウドアカウントの設定を点検するもので、クラウド環境に特化しています。一方ASMは、オンプレミスかクラウドかを問わず、インターネットから見える資産を対象にします。両者を組み合わせることで、ハイブリッド環境における外部からの見え方と、クラウド内部の設定の両面を管理できます。

Q: 導入に必要なリソースは？

A: 組織の規模や対象範囲によって異なります。探索の起点となるドメインやIPアドレス、クラウドアカウントの情報を整理し、発見した資産の帰属を確認する担当者と、修正を担う関連部門との連携体制を用意します。運用を続けるには、定期的な確認と対象の見直しを担う担当者を決めておくことが大切です。

Q: 統合プラットフォームのメリットは具体的に？

A: 資産・設定・ソフトウェア構成・診断結果を一か所で確認できれば、ツール間の情報を突き合わせる手間が減り、どの資産から対応するかを判断しやすくなります。管理するツールや契約の数が減ることで、操作を覚える負担やベンダー管理の手間を抑えられる場合もあります。ただし、製品によって連携できる範囲は異なるため、同じ資産に関連付けて結果を確認できるかを事前に確かめましょう。

Q: SecurifyのASMについて詳しく知りたい

A: Securify ASMは、ドメイン・IP・クラウドから外部公開資産を発見し、管理漏れや不要な公開を確認できるASMツールです。資産同士のつながりや、クラウドリソース・開放ポートなど外部から見える状態を確認でき、資産一覧はCSVで出力できます。緊急性の高い脆弱性が公表された際には、影響を受ける可能性があるエンドポイントをメールで通知します。発見したWeb資産は、Securifyの脆弱性診断の対象にできます。

Securifyでは、このほかに6つのクラウドの公開設定や権限を継続監視するCSPM、ソフトウェア部品表を作成して脆弱性情報と照合するSBOM、社内ネットワークやVPC内の機器と稼働サービスを把握するIASMも提供しています。SBOMの構成情報は、ASM・CSPMと関連付けて確認できます。

料金の集計に使うアセットソースは、探索で見つかった資産の数とは異なります。具体的な数え方はASMの料金ページで説明しています。詳細は、お問い合わせフォームよりご連絡ください。

まとめ：ASMを起点に、組み合わせて進めるセキュリティ対策

攻撃対象領域の可視化・管理は、現代のセキュリティ対策に欠かせない取り組みです。サイバー攻撃の高度化と企業IT環境の複雑化が進む中、Attack Surface Managementの重要性はますます高まっています。

ASMを単体で終わらせず、CSPM、SBOM、DASTと組み合わせることで、発見した資産の設定、ソフトウェア構成、アプリケーションの脆弱性まで確認でき、リスク低減と効率的な運用につながります。各ツールの強みを組み合わせることで、発見から修正までの一貫したセキュリティサイクルを構築できます。

経済産業省のガイダンスを参考に、自社に合ったセキュリティ体制を構築しましょう。ASMを起点に、攻撃者の一歩先を行くセキュリティ戦略を進めていくことが大切です。

SecurifyのASM機能についてはこちらでご紹介しております。併せてご覧ください。