ASMとは？セキュリティ対策での役割・脆弱性診断との違いと運用方法

ASM（アタックサーフェスマネジメント）とは、セキュリティ対策の一つで、外から接続できる自社のIT資産を見つけ、脆弱性などのリスクを継続的に検出・評価する。

定義は経済産業省の『ASM導入ガイダンス』による。成果は見つけた数で測れない。見つけた資産の担当者を決め、不要な公開を止め、弱点を直すところまで追う。

ASMとは？セキュリティ対策で把握する外部公開資産と限界

ASMで把握するのは、攻撃者がインターネットから見つけられる自社の資産とそこで動くソフトウェアで、外から見える範囲に限られる。警察庁は『令和7年におけるサイバー空間をめぐる脅威の情勢等について』で、ランサムウェアの被害組織へのアンケートでは侵入経路の6割以上がVPN機器だったと報告している。警察庁のセンサーが2025年に検知した脆弱性の探索などの不審なアクセスは、1日・1IPアドレス当たり9,605.7件だった。外から接続できる機器は、持ち主が把握していなくても探索されている。

把握していない資産ができる場面として、ガイダンスは、情報システム部門以外が運用するWebサイト、設定ミスで外から接続できる社内システム、本社が一元管理できないグループ企業の資産を挙げる。

ASM（アタックサーフェスマネジメント）による公開資産の把握

ガイダンスは、ASMを発見・情報収集・リスク評価の3段階に分けている（冒頭の図）。発見ではDNSの検索などを使い、情報収集はWebページの表示など通常のアクセスの範囲で行う。架空の会社で見つかる資産の例だ。

各行に、誰が何のために公開しているかを社内で書き足して管理に使う。

ASMで確認できるセキュリティ情報と観測の限界

ASMが示す脆弱性は、外から見えたバージョンなどから推定した可能性だ。ガイダンスによれば、修正後もバージョン番号が変わらない製品では脆弱性が無いのに表示され、バージョンを表示しない機器では脆弱性があっても表示されないことがある。事業者が集めた情報を検索する型は収集時点の状態を示すので、確認日時も見る。CDNやクラウドではIPアドレスが付け替わり、他社の資産が結果に混ざることもある。

外からは、資産の持ち主、継続利用の予定、扱うデータ、社内の設定が分からない。ASMの結果に出ないことを安全の根拠にせず、社内の情報と合わせて判断する。

ASMによる外部公開資産の検出と社内台帳の照合

ASMの一覧は、社内の資産台帳と突き合わせて初めて対応に使える。ガイダンスが紹介する一般消費財メーカーでは、販促キャンペーンのたびに取得したドメインのうち、本社の情報システム部門が把握していないものが残り、インシデントの原因になった。この会社はASMツールで毎日検索し、拾えない資産は手作業で一覧に足した。

ASMの検出資産と社内台帳の照合

照合の相手は、資産台帳、ドメインの登録情報、クラウドの資産一覧、委託先との契約、グループ会社や海外拠点の資産一覧だ。結果は3つに分かれる。

誤検出か未知の資産か決まるまでは、一覧から外さず未対応として数える。

公開資産の管理者と継続利用の確認

未知の資産は、管理者と使い続けるかを確かめてから扱いを決める。ガイダンスのヒアリングでも所属部門を特定しにくいという声が多く、特に海外拠点や海外グループ企業の脆弱性の対応に悩む企業が多かった。グループ全体を調べるなら、会社間の連絡方法と役割分担を先に決める。

• まだ使う：担当者を台帳に載せ、公開範囲を業務に要る分へ絞る
• 使い終わった：サーバーを止め、DNSレコードも消す
• 担当者が見つからない：探す期限と、期限後に止めるかを決める人を先に決めておく

OWASPの『Webセキュリティテストガイド』によれば、DNSレコードが使われていない外部サービスを指したままで、そのサービスが名前の持ち主を確かめない場合、第三者がサブドメインを乗っ取り、フィッシングや認証情報の窃取に使いうる。外部サービスを解約するときは、そこを指すDNSレコードも同じ手順で消す。

ASMで見つかったセキュリティリスクと対応の優先順位

対応の順番は、検出件数やツールの点数より、公開の条件・悪用の状況・業務への影響で決める。ガイダンスも、ASMのリスク評価は悪用の可能性を考えないため、実態に合わない場合があるとしている。

ASMで見つかった資産のリスク評価

FIRSTの『CVSS v4.0 仕様書』は、基本評価に時間で変わる脅威と利用環境の情報を加えると、その環境での深刻度をより正確に表せるとする。悪用の状況は米国CISAの『既知の悪用された脆弱性カタログ』（KEV）で確かめる。悪用の確かな証拠がある脆弱性が載り、CISAは全組織に優先して直すよう勧めている。

1件ごとに、公開の条件（誰でも接続できるか、認証が要るか）、既知の弱点（推定だけか、KEVに載っているか）、業務への影響（社内ネットワークにつながるか、個人情報を扱うか）をそろえる。

誰でも接続でき、KEVに載る脆弱性があり、社内ネットワークにつながる機器から扱う。VPN機器はこの条件にそろいやすい。

公開資産の修正順位と担当の決定

順位を付けたら、1件ずつ停止・修正・継続監視のどれにするかと担当者、期限を記録する。バージョンからの推定で判断できないものは、脆弱性診断で確かめるかをここで決める。ガイダンスも、詳しい調査、連絡、対応の方法を先に整理するよう挙げている。

先の消費財メーカーでは、本社のCSIRTがECサイトの管理者に「なぜ対応しなければならないか」「何をどうしなければいけないか」を共有して、対応が早くなった。担当者には、脆弱性の名前に加えて、対応する理由と作業の中身を渡す。

VPN機器などの管理画面やリモート接続が実際の侵入でどう使われたかは、AIハッキングの手口を特定した記事で事例を追っている。

ASMをセキュリティ運用に組み込む方法：自社・ツール・サービスの比較

ASMを運用に組み込むには、資産を見つけ続ける作業と、見つけたものを確かめて直す作業の担当を分けて決める。ガイダンスによれば、多くのASMは資産の持ち主の特定や脆弱性の修正を担えない。

ASMと脆弱性診断の違い・役割分担

ガイダンスは、ASMとサーバーやネットワーク機器を対象にした脆弱性診断の違いを、対象・脆弱性の確度・対象への影響で整理している。

ASMの一覧で診断の対象漏れを見つけ、ASMが示した可能性を診断で確かめる。委託先など他社が管理する資産へ通信して調べる前は、その会社の承認を得るようガイダンスは勧めている。承認なく障害を起こせば、訴訟に発展しうるためだ。

悪用できるかまで確かめるのはペネトレーションテストだ。米国NISTの『SP 800-115』は、実際の攻撃をまねて防御の回避を試み、見つけた脆弱性は悪用を試みて確かめる試験とし、本番を壊す危険と費用も大きいとする。

ASMのセキュリティ運用を自社・外部支援で分担する条件

ガイダンスは、調査にツールが実質欠かせないとし、専門家の解説を付けるサービスや運用の代行サービスも紹介している。どの型でも、台帳との照合と、停止・修正の判断は自社に残る。

• ツールを自社で運用：結果の確認、台帳との照合、対処を自社で担う。結果を読み、関係部署と調整できる担当者がいる場合
• ASMサービスに運用と解説を任せる：台帳との照合と対処を自社で担う。結果を読む人や時間が足りない場合
• 一度の調査を外部に頼む：調査後の照合と対処、導入の計画を自社で担う。まず現状を知って計画を立てたい場合

調べる頻度は、セキュリティポリシーや業務負荷、攻撃の流行から決めるとガイダンスはする。米国CISAは指令『BOD 23-01』で、連邦政府機関に資産の発見を7日ごと、脆弱性の洗い出しを14日ごとに行うよう義務付けている。

まず、公開資産ごとの担当者と承認が台帳にあるか、担当者不明の資産を止める判断者と、結果を関係部署へ渡せる人がいるかを確かめる。