サイバーセキュリティにおいて「アタックサーフェス（攻撃対象領域）」とは、組織のシステムやデータに対する不正アクセスのリスクを生む脆弱性やアクセスポイント、攻撃ベクトルの全体を指します。
目次
keyboard_arrow_down
アタックサーフェス（攻撃対象領域）とは
アタックサーフェスとは、攻撃者が組織の防御を突破し、システムを破壊したり、データを窃取したり、身代金を要求したり、その他の悪意ある行動を取る際に標的とされる領域です。そのため、アタックサーフェスはサイバーセキュリティの専門家にとってリスク管理上の重要課題となっています。
アタックサーフェスには、ネットワークや IT 環境への侵入に利用される可能性のある脆弱性、侵入ポイント、侵入の方法が含まれます。
ほとんどの組織において、アタックサーフェスは、デジタルアタックサーフェス、物理的アタックサーフェス、社会的あるいは人的アタックサーフェスの 3 つの要素で構成されています。従来のアタックサーフェスの管理アプローチでは、もはや十分とは言えません。脅威を可能な限り早期に検出し阻止できるよう、 Cyber Risk Exposure Management を活用してこれらの領域を継続的かつプロアクティブに監視する必要があります。
攻撃ベクトルは、アタックサーフェスの一要素であり、攻撃者がデータやシステムに侵入するために用いる手法です。以下の画像にあるように、多くのベクトルは、アタックサーフェスの複数の部分に使用することができます。
アタックサーフェスが拡大している背景
アタックサーフェスは抽象的な概念だけでなく、実際には組織が日常的に利用している以下のようなデジタル資産すべてを含みます。
メールサーバやメールクライアント、PC、IoT デバイス、Web サーバ、アプリケーション、VPN 機器、サプライチェーンを構成するサービス、クラウドサービスなどが代表的な例です。近年はリモートワークやクラウドシフト、DX の推進によって、これまで攻撃の主流であったメールや Web サーバを経由した侵入に加え、VPN機器の脆弱性や RDP（リモートデスクトッププロトコル）接続、クラウドの設定不備、サプライチェーン攻撃など、侵入経路そのものが多様化しています。アタックサーフェスは侵入の起点になるだけでなく、侵入後に攻撃者が足がかりとする踏み台や、重要な資産が保管されているサーバも含む点に注意が必要です。
トレンドマイクロのクラウド型脅威情報基盤「Trend Micro Smart Protection Network™」 の観測データでは、脅威検出数が 2021 年から 2022 年にかけて約 1.5 倍（約 940 億件→約 1460 億件） に増加しており、組織が守るべきアタックサーフェスの拡大と、脅威そのものの深刻化が同時に進行していることを裏付けています。
アタックサーフェスについて知っておくべきこと
前述のとおり、従来型アタックサーフェスマネジメント（ASM）では不十分です。組織およびサイバーセキュリティ担当者がアタックサーフェスの全体像を明確に把握するために、Cyber Risk Exposure Management を導入する必要があります。アタックサーフェスの分析には、ネットワーク機器、クラウドサーバ、IoTデバイスから、ユーザアカウントやアクセス権限など、あらゆる要素を含める必要があります。
また、組織はすべてのデータの保存場所を把握し、特にビジネス上重要なデータ、プライベートデータ、極秘データ、機密データ、センシティブなデータについては適切な管理を行うことが求められます。
全体像を把握し最新の状態を維持するには、アタックサーフェスのデジタル、物理的、および社会的（人的）要素を徹底してマッピングし、時間の経過による変化を追跡する必要があります。
デジタル、物理、ソーシャルといったアタックサーフェスの各要素には、それぞれ異なるリスクがあり、担当者はそういったリスクを把握し、管理する必要があります。
デジタルアタックサーフェスのリスク
外部からアクセス可能なネットワークやデータリソースは、たとえ暗号化、認証、ファイアウォール、その他の手段で保護されていたとしても、デジタルアタックサーフェス（攻撃対象領域）の一部であり、以下のような脅威にさらされます。
- サイバー攻撃：ランサムウェア、ウイルス、その他のマルウェアが組織のシステムに侵入し、攻撃者がネットワークやリソースにアクセスしたり、データを流出させたり、デバイスを乗っ取ったり、資産やデータに損害を与えたりする可能性があります。
- コーディングに関する問題や設定ミス：ポート、アクセスポイント、プロトコルといったネットワークやクラウドテクノロジの設定ミスは、攻撃者に対して「扉」を開けたままにしてしまい、侵害の一般的な原因となります。
- 露出しているテクノロジ：インターネットに接続されているテクノロジは、ハッカーによるアクセスが可能であり、攻撃の対象となるリスクがあります。インターネットに接続されているテクノロジには、Web アプリケーション、Web サーバ、クラウドサーバ、アプリケーションなどが含まれます。
- 旧式のテクノロジやアプリケーション：ソフトウェア、ファームウェア、およびデバイスのオペレーティングシステムは、正しくコーディングされ、既知の脆弱性と脅威に対してパッチが適用されている必要があります。パッチが適用されていない場合、組織に侵入する手段を攻撃者に与えてしまう可能性があります。また、IT 環境の一部でありながら管理されていなかったり、積極的に使用されていなかったりする古いデバイスは、監視されていないことが多いため、攻撃者にとって格好のアクセスポイントになる可能性があります。
- シャドー IT：企業の従業員が使用するツールのうち、既知のIT 環境または公認の IT 環境に属さないものは「シャドー IT」と見なされ、サイバーセキュリティ担当者がその存在を把握していないため、脆弱性が発生する可能性があります。これには、アプリ、ポータブルストレージデバイス、個人のスマートフォンやタブレットなどが含まれます。
- 脆弱なパスワードと暗号化：明白すぎるもの、単純すぎるもの、または複数のアカウントで使い回されているものなど、簡単に推測できるパスワードは、攻撃者が組織のデジタルリソースにアクセスできる機会を与える可能性があります。同様の理由で、盗まれた資格情報も、サイバー犯罪者の間で高い需要があります。暗号化とは、権限を与えられた人だけが読めるように情報を偽装することです。しかし、暗号化のセキュリティ強度が十分でない場合、ハッカーはデータを抽出し、それを利用してより大規模な攻撃を仕掛ける可能性があります。
物理的アタックサーフェスのリスク
物理的アタックサーフェスには、個人が物理的に所有している機器（ノート PC など）や、特定の場所や施設でのみアクセスできる機器が含まれます。物理的アタックサーフェスに関連する主なリスクは以下の 2 つです。
- 強盗やデバイス盗難：ノート PC やその他のデバイスが、車から、あるいは公共の場所で放置された際や、オフィスやその他の建物に押し入られた際に盗まれることはよくあります。このようなデバイスが攻撃者の手に渡った場合、デバイスに保存されている認証情報を使って組織のネットワークに侵入したり、他のリソースにアクセスしたりする可能性があります。
- ベイト攻撃：ベイト攻撃では、犯罪者が USB などのポータブルストレージデバイスを公共の場に放置し、誰かが興味を持ってコンピュータに接続することを狙います。「餌」として使われるこのような USB にはマルウェアが仕込まれていて、接続するとユーザのシステムにインストールされ、攻撃を開始します。
社会的または人的アタックサーフェスのリスク
サイバーセキュリティにおいて、人間は「防御の最前線」と呼ばれます。それは、人間の行動がアタックサーフェスを強化することも、逆に弱体化させることもできるためです。人間の行動を標的にしたサイバー攻撃は、ソーシャルエンジニアリング攻撃と呼ばれます。社会的または人的アタックサーフェスとは、組織に対して意図的または非意図的に損害を与える可能性のあるユーザの数を指します。
一般的なリスクには以下のようなものが含まれます。
- フィッシング詐欺：詐欺メール、テキストメッセージ、ボイスメッセージ、AI 生成のディープフェイクを用いたビデオ通話などを用いて、ユーザにサイバーセキュリティを侵害する行動を取るように誘導する手法です。これには、機密情報の共有、マルウェアに誘導するリンクのクリック、本来支払うべきでない資金の送金などが含まれます。AI の進化によって、フィッシングは検出が難しくなり、より精密にターゲットを絞られるようになりました。
- 悪意のある内部関係者：組織に対して不満を抱いている従業員や、攻撃者によって脅迫または買収された従業員は、自身の正当な認証情報やアクセス権限を利用して、企業データの流出、認証情報の共有、マルウェアのインストール、システムの破壊、その他の有害な行為を行う可能性があります。
日本企業におけるアタックサーフェスの実態
アタックサーフェスの拡大は世界共通の課題ですが、その可視化と管理の進捗には国・地域差があります。トレンドマイクロが実施した調査では、「自社のデジタルアタックサーフェスが明確に定義されている」と回答した組織は全世界で 51.3 ％だったのに対し、日本では 34.6 ％にとどまり、大きく出遅れている実態が明らかになっています。多くの組織がアタックサーフェスの拡大に懸念を抱きながらも、対策の前提となる可視化そのものが進んでいないのが実情です。
可視化が難しい理由としては、適切なツールの欠如、ツールが乱立することによる情報のサイロ化、不透明なサプライチェーン、動的でその時々にしか利用されないクラウド環境、現代の IT 環境の規模・複雑さ・分散性、クラウドベンダーによる絶え間ない技術革新、IT 部門への相談なしに新しい製品やサービスを導入する事業部門（シャドー IT）、そしてリモートワークの拡大に伴うエンドポイントやシャドー IT の増加などが挙げられます。
また、同調査では可視化ができていない領域の上位として、クラウド上のデジタル資産、ネットワーク上のデジタル資産、エンドユーザのデジタル資産の 3 つが挙げられており、責任の所在が従来のオンプレミス環境と異なるクラウド利用や、企業の管理が届かない外部ネットワークからのアクセスが、可視化を難しくしている要因と考えられます。
アタックサーフェスを理解し、そこに至る攻撃経路を理解することは、サイバー攻撃への防御計画において重要な一歩です。ただし最終的な目的は可視化そのものではなく、アタックサーフェスをビジネスに影響を与えるサイバーリスクとして管理・運用していくことにあります。
アタックサーフェスを縮小・最小化する方法
どの組織もアタックサーフェスを完全になくすことはできませんが、攻撃対象領域を限定し、最小化することは可能です。アタックサーフェスがマッピングされると、サイバーセキュリティ担当者はサイバーリスク管理を実施して、あらゆる変化を継続的に監視し、これから出現する可能性のあるリスクをプロアクティブに予測することができます。これにより、脆弱性や露出領域を削減する機会が明らかになり、サイバーセキュリティ担当者は以下のような対策を講じることができます。
- システムを最適化し、不要または使用されていないソフトウェアやデバイスを除去し、エンドポイントの数を制限します。
- ネットワークを分割し、ファイアウォールやその他の障壁を追加することで、攻撃者が侵入しても、そこから容易に移動できないようにします。
- アタックサーフェスの分析結果を活用し、弱点を特定して、より強力なパスワードの義務付け、古いソフトウェアやアプリケーションの除去、シャドー IT の削減、特定のセキュリティポリシーや管理策の導入などの対策を講じます。
- また、二要素認証や多要素認証、ゼロトラストアプローチなどのベストプラクティスを取り入れて、セキュリティ対策を強化します。ゼロトラストでは、特定のデータ、アプリケーション、リソースに、必要な人だけが、必要なときに、必要なだけアクセスすることができます。また、ゼロトラストは、どの技術リソースを誰が、いつ、どのくらいの期間使用できるかを厳格に制限します。これにより、資産を本質的に保護するとともに、侵害が発生した際に、より明確に把握できるようになります。
- 加えて、トレーニング、テスト、定期的な再教育を通じて従業員のサイバー意識を向上させます。トレーニングの内容には、適切なパスワード管理、企業ポリシーの遵守、フィッシング詐欺やその他のソーシャルエンジニアリング攻撃のリスクへの警戒、セキュリティに懸念がある場合の対応策などが含まれます。
アタックサーフェスマネジメント（ASM）とは
アタックサーフェスマネジメント（ASM）は、組織がデータやシステムをより強固に保護できるよう支援することを目的とした従来のサイバーセキュリティアプローチです。リスクの所在と深刻度を把握し、人・プロセス・テクノロジに関するセキュリティギャップを解消する措置を講じます。
ASM を推進するにあたっては、セキュリティ設計の段階からアタックサーフェスを減らす「セキュリティ・バイ・デザイン」の考え方を取り入れることや、外部公開システム・不要なプロトコルやサービスを制限してアタックサーフェスの最小化を進めること、資産管理と脆弱性診断を徹底することが重要とされています。
組織のIT環境はこれまで以上に絶えず変化し複雑に絡み合っているため、アタックサーフェスが拡大・多様化しており、ASM の重要性は増す一方です。従来型のASM が提供する資産の検出・監視や個別対応型のソリューションだけでは、包括的な可視性や高度な脅威インテリジェンスを実現することはできません。現在の環境では、侵入ポイントの継続的な監視と、影響に基づく軽減措置の優先順位付けが求められています。
政府・規制機関のアタックサーフェス管理への関与
多くの管轄当局は、組織がデジタル環境を安全に保つことができるよう、法律、規制、公共政策を策定しています。米国では国立標準技術研究所（NIST）が「サイバーリスクスコアリングフレームワーク」を公開しているほか、日本国内でもデジタル庁が「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」において、セキュリティ設計の段階からアタックサーフェスを極力減らす設計を行うことの重要性を示しています。また JPCERT/CC も、最近のサイバー攻撃とインシデント対応のポイントとして、アタックサーフェスの最小化と把握・管理の徹底を挙げています。
産業界と政府の連携が強化されることで、サイバーセキュリティ全体の防御力が向上するだけでなく、効果的なASMにおける成功事例の共有も活発になります。
アタックサーフェス管理を支援するソリューション
単にアタックサーフェスを管理するだけでは不十分です。ASM をさらにプロアクティブなサイバーリスク管理として推進するには、ビジネスリスクの観点を備え、アタックサーフェスに存在するリスクの評価・優先度付け、リスクの軽減までを一連の対処として扱う「Cyber Risk Exposure Management（CREM）」の考え方がポイントとなります。
Trend Vision One™ は、External Attack Surface Management（EASM）、Cyber Asset Attack Surface Management（CAASM）、脆弱性管理、セキュリティポスチャ管理といった主要な機能を、クラウド、データ、アイデンティティ、API、AI、コンプライアンス、SaaS アプリケーションにまたがる、強力で導入しやすい 1 つのソリューションに統合することによって革新的なアプローチを実現するCREM ソリューションを展開します。
攻撃対象領域の管理は、現代のセキュリティにおいて不可欠です。
ASM にも対応した TrendAI™ の セキュリティプラットフォーム TrendAI Vision One™ Cyber Risk ExposureManagement（CREM）では、組織外部（EASM）と組織内部（CAASM）の両面から攻撃対象領域を可視化し、デジタル環境全体のリスクを迅速に特定できます。