アタックサーフェス(攻撃対象領域)とは
サイバーセキュリティにおいて、「アタックサーフェス（攻撃対象領域）」とは、組織のシステムやデータに対する不正アクセスのリスクを生む脆弱性やアクセスポイント、攻撃ベクトルの全体を指します。
アタックサーフェス
アタックサーフェスとは、攻撃者が組織の防御を突破し、システムを破壊したり、データを窃取したり、身代金を要求したり、その他の悪意ある行動を取る際に標的とされる領域です。そのため、アタックサーフェスはサイバーセキュリティの専門家にとってリスク管理上の重要課題となっています。
アタックサーフェスには、ネットワークやIT環境への侵入に利用される可能性のある脆弱性、侵入ポイント、侵入の方法が含まれます。
ほとんどの組織において、アタックサーフェスは、デジタルアタックサーフェス、物理的アタックサーフェス、社会的あるいは人的アタックサーフェスの3つの要素で構成されています。従来のアタックサーフェスの管理アプローチでは、もはや十分とは言えません。脅威を可能な限り早期に検出し阻止できるよう、Cyber Risk Exposure Managementを活用してこれらの領域を継続的かつプロアクティブに監視する必要があります。
サイバーセキュリティ担当者は、アタックサーフェスを防御するだけでなく、その範囲を最小化し、サイバー犯罪者の侵入リスクを抑えようとしています。多くの組織のシステムとIT環境は、以前より相互連携が増え、外部とつながっているため、効果的な対策を講じるのは容易ではありません。
詳しくはこちら
アタックサーフェスと攻撃ベクトル
攻撃ベクトルは、アタックサーフェスの一要素であり、攻撃者がデータやシステムに侵入するために用いる手法です。以下の画像にあるように、多くのベクトルは、アタックサーフェスの複数の部分に使用することができます。
アタックサーフェスについて知っておくべきこと
前述のとおり、従来型のアタックサーフェスマネジメント(ASM)では不十分です。組織およびサイバーセキュリティ担当者がアタックサーフェスの全体像を明確に把握するために、Cyber Risk Exposure Managementを導入する必要があります。アタックサーフェスの分析には、ネットワーク機器、クラウドサーバ、IoTデバイスから、ユーザアカウントやアクセス権限など、あらゆる要素を含める必要があります。
また、組織はすべてのデータの保存場所を把握し、特にビジネス上重要なデータ、プライベートデータ、極秘データ、機密データ、センシティブなデータについては適切な管理を行うことが求められます。
全体像を把握し最新の状態を維持するには、アタックサーフェスのデジタル、物物理的、および社会的（人的）要素を徹底してマッピングし、時間の経過による変化を追跡する必要があります。
主なアタックサーフェスのリスクとは
デジタル、物理、ソーシャルといったアタックサーフェスの各要素には、それぞれ異なるリスクがあり、担当者はそういったリスクを把握し、管理する必要があります。これらのリスクには特定の攻撃ベクトルも含まれており、テクノロジや脅威の進化に伴い常に変化しています。以下はその一例です。
デジタルアタックサーフェスのリスク
外部からアクセスで可能なネットワークやデータリソースは、たとえ暗号化、認証、ファイアウォール、その他の手段で保護されていたとしても、デジタルアタックサーフェス（攻撃対象領域）の一部であり、以下のような脅威にさらされます。
- サイバー攻撃：ランサムウェア、ウイルス、その他のマルウェアが企業のシステムに侵入し、攻撃者がネットワークやリソースにアクセスしたり、データを流出させたり、デバイスを乗っ取ったり、資産やデータに損害を与えたりする可能性があります。
- コーディングに関する問題や設定ミス：ポート、アクセスポイント、プロトコルといったネットワークやクラウドテクノロジの設定ミスは、攻撃者に対して「扉」を開けたままにしてしまい、侵害の一般的な原因となります。
- 露出しているテクノロジ：インターネットに接続されているテクノロジは、ハッカーによるアクセスが可能であり、攻撃の対象となるリスクがあります。インターネットに接続されているテクノロジには、Webアプリケーション、Webサーバ、クラウドサーバ、アプリケーションなどが含まれます。
- 旧式のテクノロジやアプリケーション：ソフトウェア、ファームウェア、およびデバイスのオペレーティングシステムは、正しくコーディングされ、既知の脆弱性と脅威に対してパッチが適用されている必要があります。パッチが適用されていない場合、組織に侵入する手段を攻撃者に与えてしまう可能性があります。また、IT環境の一部でありながら管理されていなかったり、積極的に使用されていなかったりする古いデバイスは、監視されていないことが多いため、攻撃者にとって格好のアクセスポイントになる可能性があります。
- シャドーIT：組織の従業員が使用するツールのうち、既知のIT環境または公認のIT環境に属さないものは「シャドーIT」と見なされ、サイバーセキュリティ担当者がその存在を把握していないため、脆弱性が発生する可能性があります。これには、アプリ、ポータブルストレージデバイス、個人のスマートフォンやタブレットなどが含まれます。
- 脆弱なパスワードと暗号化：明白すぎるもの、単純すぎるもの、または複数のアカウントで使い回されているものなど、簡単に推測できるパスワードは、攻撃者が組織のデジタルリソースにアクセスできる機会を与える可能性があります。同様の理由で、盗まれた資格情報も、サイバー犯罪者の間で高い需要があります。暗号化とは、権限を与えられた人だけが読めるように情報を偽装することです。しかし、暗号化のセキュリティ強度が十分でない場合、ハッカーはデータを抽出し、それを利用してより大規模な攻撃を仕掛ける可能性があります。
物理的アタックサーフェスのリスク
物理的アタックサーフェスには、個人が物理的に所有している機器（ノートPCなど）や、特定の場所や施設でのみアクセスできる機器が含まれます。物理的アタックサーフェスに関連する主なリスクは以下の２つです。
- 強盗やデバイス盗難：ノートPCやその他のデバイスが、車から、あるいは公共の場所で放置された際や、オフィスやその他の建物に押し入られた際に盗まれることはよくあります。このようなデバイスが攻撃者の手に渡った場合、デバイスに保存されている認証情報を使って企業のネットワークに侵入したり、他のリソースにアクセスしたりする可能性があります。
- ベイト攻撃：ベイト攻撃では、犯罪者がUSBなどのポータブルストレージデバイスを公共の場に放置し、誰かが興味を持ってコンピュータに接続することを狙います。「餌」として使われるこのようなUSBにはマルウェアが仕込まれていて、接続するとユーザのシステムにインストールされ、攻撃を開始します。
社会的または人的アタックサーフェスのリスク
サイバーセキュリティにおいて、人間は「防御の最前線」と呼ばれます。それは、人間の行動がアタックサーフェスを強化することも、逆に弱体化させることもできるためです。人間の行動を標的にしたサイバー攻撃は、ソーシャルエンジニアリング攻撃と呼ばれます。社会的または人的アタックサーフェスとは、組織に対して意図的または非意図的に損害を与える可能性のあるユーザの数を指します。
一般的なリスクには以下のようなものが含まれます。
- フィッシング詐欺：詐欺メール、テキストメッセージ、ボイスメッセージ、AI生成のディープフェイクを用いたビデオ通話などを用いて、ユーザにサイバーセキュリティを侵害する行動を取るように誘導する手法です。これには、機密情報の共有、マルウェアに誘導するリンクのクリック、本来支払うべきでない資金の送金などが含まれます。AIの進化によって、フィッシングは検出が難しくなり、より精密にターゲットを絞られるようになりました。
- 悪意のある内部関係者：組織に対して不満を抱いている従業員や、攻撃者によって脅迫または買収された従業員は、自身の正当な認証情報やアクセス権限を利用して、企業データの流出、認証情報の共有、マルウェアのインストール、システムの破壊、その他の有害な行為を行う可能性があります。
アタックサーフェスを縮小する方法
どの組織もアタックサーフェスを完全になくすことはできませんが、攻撃対象領域を限定し、最小化することは可能です。アタックサーフェスがマッピングされると、サイバーセキュリティ担当者はサイバーリスク管理を実施して、あらゆる変化を継続的に監視し、これから出現する可能性のあるリスクをプロアクティブに予測することができます。これにより、脆弱性や露出領域を削減する機会が明らかになり、サイバーセキュリティ担当者は以下のような対策を講じることができます。
- システムを最適化し、不要または使用されていないソフトウェアやデバイスを除去し、エンドポイントの数を制限します。
- ネットワークを分割し、ファイアウォールやその他の障壁を追加することで、攻撃者が侵入しても、そこから容易に移動できないようにします。
- アタックサーフェスの分析結果を活用し、弱点を特定して、より強力なパスワードの義務付け、古いソフトウェアやアプリケーションの除去、シャドーITの削減、特定のセキュリティポリシーや管理策の導入などの対策を講じます。
- また、二要素認証や多要素認証、ゼロトラストアプローチなどのベストプラクティスを取り入れて、セキュリティ対策を強化します。ゼロトラストでは、特定のデータ、アプリケーション、リソースに、必要な人だけが、必要なときに、必要なだけアクセスすることができます。また、ゼロトラストは、どの技術リソースを誰が、いつ、どのくらいの期間使用できるかを厳格に制限します。これにより、資産を本質的に保護するとともに、侵害が発生した際に、より明確に把握できるようになります。
- 加えて、トレーニング、テスト、定期的な再教育を通じて従業員のサイバー意識を向上させます。トレーニングの内容には、適切なパスワード管理、企業ポリシーの遵守、フィッシング詐欺やその他のソーシャルエンジニアリング攻撃のリスクへの警戒、セキュリティに懸念がある場合の対応策などが含まれます。
アタックサーフェスマネジメント(ASM)とは
アタックサーフェスマネジメント（ASM）は、組織がデータやシステムをより強固に保護できるよう支援することを目的とした従来のサイバーセキュリティアプローチです。具体的には、リスクがどこにあるかを把握し、その相対的な深刻度を理解して、人、プロセス、およびテクノロジに関するセキュリティギャップを解消する措置を講じます。ASMにより、セキュリティ担当者は企業のITエコシステムへの侵入経路を減らし、新たな脆弱性や攻撃ベクトルを把握することができます。
企業のIT環境はこれまで以上に絶えず変化し、複雑に絡み合っているため、アタックサーフェス（攻撃対象領域）が拡大および多様化しているため、ASMは非常に重要になっています。資産の検出や監視手法、個別対応型のセキュリティソリューションを提供する従来のASMでは、包括的な可視性や高度な脅威インテリジェンスを提供することができません。現在の環境では、侵入ポイントの継続的な監視と、影響に基づく軽減措置の優先順位付けが必要とされています。このアプローチにより、リスクをビジネスの観点で理解し、脅威を予測することで、発生前に積極的にリスクを無効化することが可能になります。
政府はアタックサーフェスの管理に関わっているか
多くの管轄当局は、組織がデジタル環境を安全に保つことができるよう、法律、規制、公共政策を策定しています。これには、米国国立標準技術研究所（NIST）の「サイバーリスクスコアリングフレームワーク」などの枠組み も含まれています。
サイバーセキュリティにおける産業界と政府が連携することにより、総合的なサイバー保護の強化につながるだけでなく、効果的なアタックサーフェスマネジメント（ASM）における成功事例の共有も活発になります。
アタックサーフェスの管理を支援できるのは誰か
単にアタックサーフェスを管理するだけでは不十分です。現在のリスク環境では、リスクを積極的に予測、発見、評価、軽減してサイバーリスクの影響を大幅に削減するため、Cyber Risk Exposure Management(CREM) の機能が求められています。
Trend Vision One™ は、External Attack Surface Management (EASM)、Cyber Asset Attack Surface Management (CAASM)、Vulnerability Management、Security Posture Managementといった主要な機能を、クラウド、データ、アイデンティティ、API、AI、コンプライアンス、SaaSアプリケーションにまたがる、強力で導入しやすい１つのソリューションに統合することによって革新的なアプローチを実現するCyber Risk Exposure Management(CREM) ソリューションを展開します。
アタックサーフェスマネジメント(ASM)を超えるCyber Risk Exposure Management(CREM)について、詳しくはこちら
アタックサーフェスのトピック