システムが多様化したりインターネット接続が増えたりすると、侵入口になる「攻撃対象領域」（アタックサーフェス）も広がる。アタックサーフェスを管理し、攻撃を受けるリスクを減らすにはどうすればいいのか。
組織に対する攻撃の侵入口や経路となり得る「攻撃対象領域」（アタックサーフェス）が、システムの複雑化とともに広がっている。その対策として注目されるようになったのが「ASM」（Attack Surface Management：攻撃対象領域管理）だ。アタックサーフェスを守るには、ASMをどう活用すればいいのか。6つのポイントを紹介する。
アタックサーフェスが広がる背景として、以下が挙げられる。
現在、ASMツールを提供する主なベンダーはPalo Alto NetworksやCyCognito、Detectify、IONIXなどだ。ASMに取り組む際の6つのポイントは次の通りだ。
ゼロトラストセキュリティでは、社内外のユーザーを問わず、全ての通信を「怪しい」と見なして、アクセスの際に必ず認証を求める。ASMにおいても、ゼロトラストセキュリティは重要な取り組みになる。既存のシステムへの影響を抑えながら移行するために、アプリケーションごと、ネットワークセグメントごと、ユーザーグループごとにゼロトラストを段階的に実装するのが一般的だ。
全てのエンドユーザーに無制限のアクセスを許可する組織もあるが、近年はセキュリティやコンプライアンス（法令順守）の観点から、エンドユーザーごとにアクセスを制御する動きが広がっている。ASMでは特に重要なシステムに対してアクセスを厳格に管理し、誰からアクセス要求があったかを監視することが重要だ。こうしたプロセスを「IDガバナンス」と呼ぶことがある。
組織が大規模になるほど、部門ごとに使用するハードウェアやソフトウェアは多様になり、システムの構成要件はばらばらになりがちだ。安全性を高めるにはシステムの構成要件を標準化することが大切だが、システムが複雑化するほど共通の基準は定めにくくなる。とはいえ、異なる基準は脆弱（ぜいじゃく）性が生まれるポイントになりかねない。システム全体に共通する基準を策定しつつ、ASMでアタックサーフェスを管理することが重要だ。
ソフトウェアの脆弱性を悪用した大規模な攻撃が発生している。例えば近年では、プログラミング言語・実行環境「Java」のログ出力ライブラリ（部品群）「Apache Log4j」や、ソフトウェアベンダーProgress Software（旧Ipswitch）のファイル転送ソフトウェア「MOVEit Transfer」を悪用した攻撃が注目を集めた。
「ソフトウェア部品表」（SBOM）がある。SBOMを使ってソフトウェアのコンポーネントや依存関係を管理することは、脆弱性を特定して迅速に対策を講じることに役立つ。ソフトウェア開発者やセキュリティチームはASMの一環としてSBOMを活用することで、悪用される可能性のある脆弱性を特定し、アタックサーフェスを減らせるようになる。
組織には、インターネットに接続しているものの十分に管理されていないシステムが存在する場合がある。放置された古いシステムは攻撃の入り口になりかねない。以下はその一例だ。
組織はこうした対象を探し出し、迅速に修正したり削除したりすれば、攻撃リスクを下げることができる。
ネットワーク機器などインターネットへのアクセスポイントもアタックサーフェスになり得る。インターネットへのアクセスポイントを削除したり統合したりすることで、その数を減らすことが重要だ。
アタックサーフェスを削減するための万能な方法はない。本稿で紹介したASMの6つのポイントを軸に、全社で取り組むことが大切だ。
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
