【LYST】ASM（Attack Surface Management）──見えない“攻撃面”を可視化せよ

 いま、企業のサイバー攻撃が「外部資産」から始まっている

近年のサイバー攻撃の多くは、企業の外に露出したIT資産（外部アタックサーフェス）を突破口として発生しています。
クラウド化、リモートワーク、SaaS利用、委託業者の増加…。便利さの裏で、企業の外部に晒される領域は加速度的に広がりました。

しかし、企業自身がその全てを把握しきれているとは限りません。

• 過去に使っていたサーバーが放置されている
• 役割を終えたVPN装置がネットに接続されたまま
• 誰も把握していないサブドメインが残っている
• 外部公開の設定が意図せず広がっているSaaS

攻撃者は、こうした「企業も気づいていない入口」から侵入を試みます。
この“見えない入口”を自動で洗い出し、監視し続ける仕組みが ASM（Attack Surface Management）＝攻撃対象領域管理 です。

本コラムでは、初心者の方でも理解しやすいように、ASMがなぜ重要なのか、何ができるのか、どのように企業を守るのかをわかりやすく解説します。

 ASMとは？──攻撃者の視点で企業を監視する仕組み 

ASMのもっとも特徴的な点は、「攻撃者が見る企業の姿」を可視化する ところにあります。
従来のセキュリティ対策は、社内からの視点で「設定が安全か」を確認するものでした。一方、ASMは外部から企業をスキャンし、公開されている資産や潜むリスクを発見します。

■ ASMが検知する主な対象

• ドメイン／サブドメイン
• クラウドサービス（SaaS / IaaS）
• Webアプリケーション・API
• ネットワーク機器（VPN、リモートアクセス装置）
• 開発環境や検証環境の残骸
• 意図せず公開されているストレージ（Amazon S3等）

企業が「公開しているつもりのない資産」まで自動的に検出するため、攻撃者が狙う入口を早期に把握できます。

 【実例】放置されていた旧サーバーをASMが発見 

ある製造業の企業では、クラウド移行後に不要となった旧サーバーが、誰にも気づかれないままネット上に残っていました。
このサーバーは、外部からSSHアクセスが可能な危険な状態。

ASMによる外部診断により速やかに発見され、直ちに遮断されました。

後に監査ログを確認したところ、実際に外部からスキャンの試みがあり、攻撃の足音はすぐ近くまで迫っていたことが判明しました。

もしASMを導入していなければ、攻撃者に侵入されていた可能性は極めて高い状況でした。

SSH（Secure Shell）アクセスは、離れた場所からサーバーや機器に安全にログインして操作するための仕組み（通信プロトコル）です。SSH自体は安全な仕組みですが、外部（インターネット）から接続できる状態だと攻撃者の標的になります。

理由としては、ブルートフォース攻撃（総当たり攻撃）の対象になったり、すでに保守されていない古いサーバーなどは脆弱性を突かれたり、今回のように使用していないのに放置されていると、誰も気づかないまま攻撃されることが発生するからです。

これは決して特殊な例ではなく、クラウド移行・SaaS利用が増えた現在の企業では“よくあるリスク”です。

 ASMは何を「可視化」するのか？ 

ASMによって可視化されるのは、次の3つのカテゴリーです。

①外部公開されているIT資産の棚卸し

• 公開中のサーバー、サブドメイン、サービスの一覧
• 企業自身が把握していない「影の資産」の発見

②外部から確認できる脆弱性やリスク

• 古いソフトウェアバージョン
• 不要ポートの開放
• 誤ったDNS設定
• SaaS設定の不備（共有リンクの公開など）

③攻撃者が利用可能な情報の特定

• GitHub※1など外部サービスの露出情報
• 情報漏えいサイトに掲載された古い認証情報
• OSINT※2による公開情報の調査結果 

これらを継続的にモニタリングし、問題が発見されれば即通知するのがASMの強みです。

※1：GitHub（ギットハブ）；ソフトウェア開発者がプログラムのコードを管理・共有するためのオンラインサービス。世界最大の開発プラットフォームで、Microsoftの傘下。

※2：OSINT（オシント）；Open Source Intelligence（オープンソース・インテリジェンス） の略で、誰でもアクセスできる公開情報を集めて分析する手法。公開情報には、以下のようなものが含まれる。

• 検索エンジンで見つかる一般公開ページ
• ドメイン情報（Whois）
• GitHubやGitLabなど、コードが公開されるサービス
• SNS（X、Facebook、Instagram、LinkedIn）
• 公開されているドキュメント・資料
• ”インターネットに接続された機器”の検索エンジン（Shodanなど）

 LYSTが推奨する「ASM × WAF × 保険」の三層防御 

LYSTでは、ASMを単体のツールとして扱うのではなく、企業のリスクマネジメント全体に組み込む“防御の層（レイヤー）”として活用します。

1層目：ASM（見つける）
外部アタックサーフェスを自動で棚卸しし、攻撃者が狙う入口を先に発見。

2層目：WAF（止める）
前回のコラムで解説したWAFが、Webアプリへの攻撃をリアルタイムでブロック。

3層目：サイバー保険（守る）
攻撃を受けた際の損害賠償金、データ復旧、フォレンジック調査費用などを補償。

これにより、
「気づかないリスク」→「管理できるリスク」へ変える ことが可能になります。

ASMが入口を洗い出し、WAFが攻撃を防ぎ、保険が事業継続を支える。
LYSTは、この三層構造こそが中小企業に最適なサイバーセキュリティ対策であると考えています。

 ASMは「導入して終わり」ではない 

ASMの価値は、“継続的な監視”にあります。
IT環境は常に変化するため、月に一度の脆弱性診断では追いつきません。

• 新しいSaaSを導入した
• 委託企業が変わった
• 新部署がクラウドを使い始めた
• 古いサーバーが残ったままだった

こうした変化を即時に捉えるために、ASMが必要です。
企業が自ら管理しきれない部分を自動化し、「常に攻撃者より先に気づく」体制を整えることができます。

 まとめ──“見えない攻撃面”を可視化することが最大の防御 

ASMは、難しい技術ではありません。
本質はとてもシンプルで、
「攻撃者が見ている企業の姿」を先に把握する
ということです。

外部公開資産の棚卸しは、どの企業にも存在する“見えないリスク”。
これを可視化するASMは、中小企業にとっても非常に効果的な防御手段になります。

LYSTは、ASMを入口として、WAF・保険と組み合わせた多層防御モデルを提供し、
サイバー攻撃を「偶然の事故」ではなく「管理可能なリスク」へ変える企業づくりをサポートします。

★LYSTの『サイバーセキュリティ支援』にお気軽にご相談ください★