雨上がりの芝生と同じように、十分に管理しなければ、攻撃対象領域は急速に拡大します。そして、攻撃対象領域の拡大に伴い、サイバーセキュリティリスクも増大します。リスクを完全に排除することはできませんが（攻撃対象領域は常に変化しているため）、全体的なリスクレベルをリスク許容度に合わせて管理することは可能です。

攻撃対象領域の検出が重要な理由

サイバーセキュリティリスクの管理は、組織の攻撃対象領域を特定することから始まります。より具体的には、環境をさらすエンドポイント、脆弱性、その他の攻撃ベクトルなど、表面下に潜む要素を特定する必要があります。

主要なセキュリティフレームワークでは、強固なセキュリティ体制に攻撃対象領域の検出が不可欠であるという点で一致しています。たとえば、米国国立標準技術研究所サイバーセキュリティフレームワーク（NIST CSF）バージョン1.1の最初の機能は「特定」であり、NISTは「特定機能における活動は、フレームワークを効果的に活用するための基盤である」と述べています。同様に、CIS Controls v8には次のコントロールが含まれています。

  • コントロール1 — エンタープライズ資産のインベントリと管理
  • コントロール2 — ソフトウェア資産のインベントリと管理
  • コントロール7 — 継続的な脆弱性管理

簡単に言えば、存在を把握していないものは防御できません。では、何を保有しているかをどのように把握すればよいのでしょうか。

攻撃対象領域の検出はどこから始めればよいか

攻撃対象領域を検出するには、攻撃者の視点で自組織を捉え、悪用可能な資産と関連する脆弱性を見つける必要があります。

攻撃対象領域は、デジタル攻撃対象領域、物理的攻撃対象領域、人的攻撃対象領域の3つの要素で構成されます。ここでは主にデジタル攻撃対象領域の検出に焦点を当てますが、他の2つについても簡単に触れます。

デジタル攻撃対象領域には、エンドポイントやサーバーなどのハードウェア、ソフトウェアアプリケーションといった従来型のIT資産に加え、Webアプリケーション、IP、ドメイン名、SSL証明書、クラウドサービスなど、外部インターネットに公開されている資産が含まれます。

最初のステップは、デジタル攻撃対象領域の各要素を把握し、可視性のギャップを特定することです。各要素は次のように分類できます。

  • 既知の既知：攻撃対象領域の一部であることを把握しているサイバー資産。
  • 既知の未知：攻撃対象領域の一部であることは把握しているものの、可視化できていない、または管理下にない可能性があるサイバー資産。
  • 未知の未知：攻撃対象領域の一部かどうかが不明なサイバー資産。
  • 該当なし：攻撃対象領域の一部ではないことが100%確実に分かっているサイバー資産。

攻撃対象領域の要素をより包括的に把握するには、編集可能な攻撃対象領域チェックリストを使用してインベントリを作成してください。

攻撃対象領域を検出・管理するためのツール

資産タイプを分類した後の次のステップは、可視性のギャップを解消し、既知の未知と未知の未知を既知の既知に変えるために、どのツールやアプローチを使用できるかを見極めることです。

広義の攻撃対象領域管理に含まれる、より具体的なソリューションとして、サイバー資産攻撃対象領域管理（CAASM）、外部攻撃対象領域管理（EASM）、デジタルリスク保護サービス（DRPS）があります。これらのツールは調査結果を集約して脆弱性を特定しやすくします。また、一部のツールには脆弱性の優先順位付けや修復機能も備わっているため、攻撃対象領域に関するインサイトに迅速に対応し、リスクを低減できます。

ただし、ASMソリューションが登場する以前から、組織はデジタル攻撃対象領域を検出し、管理する必要がありました。そのため、多くの組織はASMソリューションの代わりに、他のアプローチを活用してきましたし、現在も活用しています。

アプローチ 説明 メリット デメリット
資産検出ツール ネットワークに接続するハードウェア資産とソフトウェア資産を検出し、インベントリ化します。 ほとんどの組織ですでに導入されています。スプレッドシートより優れています。 シャドーIT、サードパーティシステム、業務部門アプリケーションなど、死角が生じる場合があります。
侵害・攻撃シミュレーション（BAS） 脅威ベクトルを自動的にテストし、セキュリティ体制上の脆弱性をより深く理解し、セキュリティ制御を検証します。 セキュリティギャップに関するレポートを生成し、リスクに基づいて修復の優先順位を付けます。 対象は既知の攻撃のみです。修復は提供しません。
クラウドセキュリティ体制管理（CSPM） クラウド構成の変更を把握します。 クラウド構成をリアルタイムで可視化します。 構成がコンプライアンスから逸脱したタイミングや、新たな脅威による潜在的な影響は明らかにできません。
構成管理データベース（CMDB） システムに加えられた変更を追跡します。 ほとんどの組織ですでに導入されています。 構成がコンプライアンスから逸脱したタイミングや、新たな脅威による潜在的な影響は明らかにできません。
自社構築型アプローチ スプレッドシート、スクリプト、手動プロセスを組み合わせて攻撃対象領域を管理します。 純粋なコストの観点では安価または無料です（アナリストの作業時間を除く）。 時間がかかり、エラーが発生しやすいです。拡張性やリアルタイム性に欠けます。
IT資産管理（ITAM） 資産のライフサイクル全体を通じて追跡・監視します。 ほとんどの組織ですでに導入されています。スプレッドシートより優れています。 対象は既知かつ管理下にある資産のみであり、攻撃対象領域の未知または未管理の側面を見落とします。
ペネトレーションテスト（例：自動ペネトレーションテストツール、サービスとしてのペネトレーションテスト） サイバー攻撃をシミュレートして、ネットワークとアプリケーション内の脆弱性を特定します。 セキュリティ体制と関連する予算優先事項の例を提示します。 対象はサイバーキルチェーンの最初の段階である偵察のみです。また、結果は通常、その時点での評価に限られ、シミュレーションを実施するペネトレーションテスターの力量に左右されます。
レッドチーム演習 ネットワーク、アプリケーション、物理的な保護策、従業員を対象にサイバー攻撃をシミュレートすることで、組織のサイバーセキュリティ体制を包括的に把握できます。 サイバーキルチェーンの他の段階にも焦点を当てるため、ペネトレーションテストの範囲を超えた評価が可能です。また、デジタル攻撃対象領域にとどまらず、物理的および人的攻撃対象領域にも及びます。 結果は通常、その時点での評価に限られ、シミュレーションを実施するペネトレーションテスターの力量に左右されます。
脅威インテリジェンス 脅威やその他のサイバーセキュリティ課題に関する情報にアクセスします。 セキュリティ専門家に、脅威と脆弱性に関するインテリジェンスを提供します。 主な対象は、熟練した人材と豊富なリソースで構成される高度に成熟したセキュリティ運用を持つ組織です。
脆弱性管理ツール（例：スキャナー） インフラストラクチャとアプリケーション内の脆弱性を特定・管理します。 ほとんどの組織ですでに導入されています。 未知の資産を可視化できません。データ量が膨大になります。

これらの方法は、専用に設計されたASMソリューションのすべての機能を提供するわけではありませんが、組織のITおよびセキュリティ運用において重要な役割を果たしています。

実際、CAASMツールは、資産検出、ITAM、脆弱性管理、パッチ管理のいずれか、または複数のツールから得られるデータがなければ機能しません。同様に、EASMは上記の脅威インテリジェンスおよびセキュリティテストサービスを補完します。

組織の物理的攻撃対象領域を特定する方法

組織の物理的攻撃対象領域の最初の主要要素は、デジタル攻撃対象領域と重なります。これはエンドポイント攻撃対象領域と呼ばれ、主にネットワークに接続するすべてのエンドポイント（デスクトップコンピューター、ノートPC、モバイルデバイス、IoTデバイス）で構成されます。デジタル攻撃対象領域を検出するために使用するツールや手法は、ここにも適用できます。

物理的攻撃対象領域の2つ目の主要要素は、オフィス、データセンター、その他の施設です。ここでも、デジタル攻撃対象領域を特定するためにすでに使用されている手法は、物理的攻撃対象領域にも重なります。この場合は、レッドチーム演習における物理的ペネトレーションテストの要素が該当します。

組織の人的攻撃対象領域を特定する方法

人的攻撃対象領域の特定は、組織図を確認することから始まります。機密情報にアクセスできる、または他者によるその情報へのアクセスを妨げることができる、組織に関わるすべての人が人的攻撃対象領域に含まれます。これには正社員だけでなく、パートタイム従業員、取締役、請負業者、パートナー、ベンダー、サプライヤー、派遣スタッフなども含まれます。

デジタル攻撃対象領域と物理的攻撃対象領域の両方の要素を特定するために使用されるレッドチーム演習は、人的攻撃対象領域の主要要素である、ソーシャルエンジニアリングに対する従業員の脆弱性を特定する目的にも使用できます。

不適切なユーザー権限の割り当ても、人的攻撃対象領域を拡大する主要な要因です。人的攻撃対象領域に含まれる人々がアクセスできるシステムやデータ、そして保有するアクセスレベルを確認することも、その領域の一部を特定する方法です。

組織の攻撃対象領域を特定した後はどうすればよいか

攻撃対象領域の検出は、最終目標である、組織に最大のリスクをもたらす脆弱性の修復に向けた最初のステップです。このプロセス全体はエクスポージャー管理と呼ばれます。

すでに説明したように、攻撃対象領域の検出はセキュリティ戦略の基盤の1つです。存在を把握していなければ、それを保護することはできません。エクスポージャー管理では、もう1つの基盤となる柱として、リスク許容度の決定が加わります。これは、目標達成のために組織がどの程度のリスクを受け入れる意思があるかを定義するものです。（リスク許容度ステートメントには、この編集可能なテンプレートを使用できます。）

これら2つの基盤要素に対応したら、攻撃対象領域で検出した脆弱性を評価し、それらが組織にどの程度のリスクをもたらすのか、またリスク許容度の範囲内に収まっているのかを判断できます（このプロセスについては、こちらの客観的なサイバーリスク評価ガイドで詳しく解説しています）。

リスク許容度を超える脆弱性が修復の優先対象となり、最も大きな効果が得られる領域に取り組みを集中できます。