ASMは「攻撃者の目線で自社のインターネット上の弱点を把握する」プロセスです。忘れられたVPN装置や放置されたサブドメインが攻撃の入口になる前に、定期的な外部公開資産の棚卸しを行いましょう。
ASMとは
ASM（Attack Surface Management）は、攻撃者の視点から自組織のインターネット上に公開されている資産を継続的に発見・評価・管理するプロセスです。「外から見て、自社のどこが攻撃対象になり得るか」を把握し、リスクを低減します。
経済産業省は2023年5月に「ASM（Attack Surface Management）導入ガイダンス」を公開しており、企業のセキュリティ対策としてASMの導入を推奨しています。
なぜ中小企業にASMが必要か
- 把握していない公開資産：忘れられたテスト環境、退職者が構築した旧Webサイト、放置されたVPN装置
- サプライチェーン攻撃の入口：攻撃者はサプライチェーンの中でセキュリティが弱い企業を狙う
- クラウド利用の拡大：シャドーITとして利用されているクラウドサービスのアカウント
- VPN・RDP装置の脆弱性：パッチ未適用のVPN装置やRDPが公開されたままの事例が多発
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →管理すべき攻撃対象領域
| 攻撃対象 | 具体例 | リスク |
|---|---|---|
| Webサイト・Webアプリ | 公式サイト、管理画面、API | 脆弱性の悪用、情報漏洩 |
| メールサーバー | MXレコードで公開されたサーバー | SPF/DKIM/DMARC未設定によるなりすまし |
| VPN/リモートアクセス装置 | FortiGate、Palo Alto等 | 脆弱性を突いた侵入（実際の攻撃事例多数） |
| クラウドサービス | Azure、AWS、SaaS | 設定ミスによるデータ公開 |
| DNSレコード | 放置されたサブドメイン | サブドメインテイクオーバー |
ASMツール・サービス
| ツール | 概要 | 費用 |
|---|---|---|
| Shodan | インターネットに接続されたデバイスの検索エンジン | 無料〜 |
| Censys | インターネット上のホスト・サービスのスキャン | 無料〜 |
| Microsoft Defender EASM | Microsoftが提供するASMサービス | 有料 |
| OSINT系ツール | SSL証明書の透過性ログ（crt.sh）、DNS情報の調査 | 無料 |
SCS評価制度との関係
SCS評価制度の★3・★4では「リスクの特定」として資産管理や脆弱性の把握が求められます。ASMは外部公開資産の把握という観点で、これらの要求事項の実現手段のひとつです。
中小企業でのASMの始め方
専用ツールを導入する前に、無償でできる範囲から始められます。
| Step | 作業 | 使えるもの |
|---|---|---|
| 1. ドメインの棚卸し | 自社が保有するドメインを全件リスト化する。過去のキャンペーン用や旧社名のドメインが残っていることがある | ドメインレジストラの管理画面、請求書 |
| 2. 公開ホストの洗い出し | 各ドメインのDNSレコードを確認し、インターネットに公開されているホストを特定する | nslookup、DNSの管理画面 |
| 3. 公開ポートの確認 | VPN機器、リモートデスクトップ、管理画面が意図せず公開されていないか確認する | 外部からのポートスキャン |
| 4. 証明書の期限管理 | SSL/TLS証明書の有効期限を一覧化する | 証明書台帳、監視ツール |
| 5. 定期化 | 四半期ごとに1〜4を再実行し、差分を確認する | — |
ASMの本質は「自社が把握していない公開資産を見つけること」です。棚卸しの結果、担当者が退職して誰も管理していないサーバーやドメインが出てくることは珍しくありません。
見落とされやすい公開資産
- 使われていない旧サイト：キャンペーンサイト、旧コーポレートサイト。CMSが古いまま放置され改ざんの入口になる
- 検証環境：ステージング環境が認証なしで公開されている
- ネットワーク機器の管理画面：ルーター、NAS、複合機、監視カメラ。デフォルトパスワードのまま公開されている
- 退職者が契約したSaaS：会社ドメインで作られたまま管理されていないアカウント
- サブドメインの乗っ取り：外部サービスを解約したのにDNSのCNAMEが残っている状態
とくにVPN機器の管理画面がインターネットに公開されているケースは、ランサムウェアの主要な侵入経路になっています。棚卸しで見つけたら最優先で閉じてください。
よくある質問
ASMとは何ですか？
ASM（Attack Surface Management）は、攻撃者の視点から自組織のインターネットに公開されている資産を継続的に発見し、リスクを評価・管理する取り組みです。
中小企業にもASMは必要ですか？
必要性は高まっています。ランサムウェアの主要な侵入経路がVPN機器の脆弱性や公開されたリモートデスクトップであり、これらは「把握していない公開資産」であることが多いためです。
専用ツールがないと始められませんか？
始められます。まず自社が保有するドメインを全件リスト化し、DNSレコードから公開ホストを特定して、意図しないポートが開いていないかを確認するところから着手できます。四半期ごとに再実行して差分を見る運用にします。
見落としやすい公開資産は何ですか？
放置された旧キャンペーンサイト、認証のない検証環境、デフォルトパスワードのままのネットワーク機器やNASの管理画面、退職者が契約したSaaS、解約後もCNAMEが残っているサブドメインです。
まとめ
ASMは「攻撃者の目線で自社のインターネット上の弱点を把握する」プロセスです。忘れられたVPN装置や放置されたサブドメインが攻撃の入口になる前に、定期的な外部公開資産の棚卸しを行いましょう。