ASM（アタックサーフェス管理）とは何ですか？

組織が外部に公開している攻撃可能な資産を継続的に発見・評価・管理するセキュリティ手法。

ASM（アタックサーフェス管理）のポイントは？

Attack Surface Management（攻撃対象領域の管理）の略。外部から見える自社のIT資産（サーバー、API、ドメインなど）を自動で可視化。忘れられたサーバーや設定ミスのあるクラウドリソースを発見する。経済産業省が2023年にASMガイダンスを公開し、日本でも導入が加速

【えーえすえむ】

💡 攻撃者の目線で自社の弱点を見つける

📌 このページのポイント

ASM（攻撃対象領域管理）のイメージ

ひよこ

アタックサーフェスって何のこと？

ペンギン先生

攻撃者から見て「狙える場所」の全体像だよ。公開しているWebサーバー、API、メールサーバー、VPN、クラウドリソースなど、インターネットからアクセスできるものすべてがアタックサーフェスなんだ

ひよこ

自社の資産は把握してるんじゃないの？

ペンギン先生

それが意外と把握しきれていないんだ。部署が独自に立てたテストサーバー、過去のプロジェクトで使った古いドメイン、設定ミスで公開状態になったクラウドストレージ…こういう「忘れられた資産」が攻撃の入口になるよ

ひよこ

どうやって発見するの？

ペンギン先生

ASMツールが自社のドメインやIPアドレスを起点に、インターネット上から見える資産を自動スキャンするんだ。DNSレコード、SSL証明書、Whois情報などを分析して、関連する資産を芋づる式に発見するよ

ひよこ

脆弱性診断とは違うの？

ペンギン先生

脆弱性診断は「既知の資産」に対して行うものだけど、ASMは「未知の資産を発見する」ところから始まるのが違うんだ。まず見つけて、次に評価して、リスクが高いものから対処する。継続的に行うのがポイントだよ

まとめ：ざっくりこれだけ覚えればOK！

「ASM」って出てきたら「自社の攻撃される可能性がある場所を洗い出す管理手法」と思えればだいたいOK！

📖 おまけ：英語の意味

「Attack Surface Management」＝攻撃対象領域管理

💬 Attack Surface（攻撃面）をManagement（管理）する。攻撃者が狙える場所を自分で先に見つけて対処するよ