最近、アタックサーフェスマネジメント（Attack Surface Management: ASM）という言葉をよく耳にするようになったという方も多いのではないでしょうか。これは、攻撃される可能性のあるIT資産を把握し、セキュリティを強化する取り組みや関連する技術全体を指す用語です。

アタックサーフェスを把握して管理する

ASMを理解するには、アタックサーフェス(攻撃対象領域)とは何かを知っておく必要があります。経済産業省が2023年5月に公表した「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」では、アタックサーフェスを「組織の外部（インターネット）からアクセス可能なIT資産」と定義しています。

つまり、サーバ、ネットワーク機器、PC、モバイル機器、IoT、クラウドサービスなどサイバー攻撃の対象となり得るデバイスやソフトウェアはすべてアタックサーフェスということになります。これらのIT資産全体 (Attack Surface) を正確に把握して適切に管理する (Management) 一連の取り組みや技術がASMです。

なお、ASMと同じ意味で使われることのある用語に「EASM（External Attack Surface Management）」があります。文字通り外部 (External) に公開されているIT資産にフォーカスした用語ですが、最初に攻撃される起点はもちろん、侵入後に踏み台にされるサーバやサービスもすべてアタックサーフェスであることや、組織の内部に悪意を持つ攻撃者の存在、さらにはサプライチェーンを構成するサービスなども含めて考えるのであれば、外部と内部を分けて考えるよりもASMと広義に検討する方が適切であるように思われます。

経済産業省「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」
https://www.meti.go.jp/press/2023/05/20230529001/20230529001-a.pdf

なぜASMが重要なのか

近年ASMを重視する動きが活発になっている背景には、テレワークの常態化やITサービスのクラウド化などが挙げられます。多くの組織において、コロナ禍をきっかけに従業員の働き方が大きく変化しています。従業員の働き方の変化によるITインフラの拡大・拡充はもちろん、グループ企業や取引先企業などサプライチェーンを構成する仕組み全体をアタックサーフェスとして把握・管理する必要に迫られています。

かつてのアタックサーフェスといえば、ネットワーク機器やサーバ、従業員が使用するPC、Webサイト、メールなどを指していました。しかし、近年ではテレワーク用のVPN機器、クラウドサービス、リモートデスクトップ、従業員がリモートで使用しているPCやスマートフォンなどのデバイス、Wi-Fiルーターなどのネットワーク機器など多岐に渡っています。

それだけではありません。社会全体のインフラとしてデジタルサービスが当たり前に利用されるようになったことで、多くの企業が新たなビジネスとして、インターネット経由でデジタルサービスを提供するようになっています。ここ数年で組織が守らなければならいアタックサーフェスは、急速に拡大を続けているのです。

こうした組織のIT環境の変化に加え、サイバー攻撃の手法が高度化していることにも注意が必要です。かつてサイバー攻撃といえば、不特定多数に対してメールなどでマルウェアを送付する「ばらまき型」が主流でした。しかし、最近では特定の組織を狙った「標的型」の攻撃が増えています。

VPNやRDPに使用する機器の脆弱性を悪用する、窃取した認証情報を悪用するといった手口で、組織のネットワークに不正侵入するケースが数多く報告されています。また、サプライチェーンを構成する組織の中から、セキュリティ機能が低いポイントを狙うサプライチェーン攻撃などもあります。

このように、アタックサーフェスの把握・管理が適切に行われなければ、サイバー攻撃への発見や対応が遅れ、被害の拡大に繋がりかねないのです。

ASMの取り組み

組織のセキュリティ運用の視点で考えれば、ASMは当たり前とも言える考え方です。しかし、社会情勢やビジネスを取り巻く環境の変化によってアタックサーフェスは拡大し、当たり前だった取り組みが少しずつ困難になっています。

拡大するアタックサーフェスに対して、デジタル庁が公表した「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」や一般社団法人JPCERT/CC (Japan Computer Emergency Response Team / Coordination Center)の公表した「最近のサイバー攻撃とインシデント対応のポイント」では、アタックサーフェスを極力減らし、防御していくことが重要であると説明しています。

ASMの取り組みには、次のような視点が重要です。

● 設計の段階からアタックサーフェスを減らす
・システム開発時から「セキュリティ・バイ・デザイン」を取り入れる

● アタックサーフェスの把握と管理を徹底する
・管理すべきIT資産を適切に把握して管理する
・定期的にリスク評価を実施し、適切に対処する

● アタックサーフェスを可能な限り最小化する
・不要な機能やサービスを実装しない/停止する

● 攻撃者による悪用を防止する
・システムの監視・運用などの管理を徹底する
・適切なセキュリティ機能を実装する

もちろん、これらの取り組みは継続的に実施することが大切です。

・デジタル庁「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」
https://www.digital.go.jp/assets/contents/node/basicpage/fieldrefresources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/2a169f83/20220630resourcesstandardguidelinesguidelines01.pdf

・一般社団法人JPCERT/CC 「最近のサイバー攻撃とインシデント対応のポイント」
https://www.isaca.gr.jp/cism/img/2021_kouen1.pdf

まとめ

・ASMは攻撃される可能性のあるIT資産を守る取り組みや技術
・社会情勢やビジネス環境の変化によってアタックサーフェス (攻撃対象領域) が拡大している
・アタックサーフェス (攻撃対象領域) の適切な把握と管理が重要