その情報、外部公開で本当に大丈夫？ NRIセキュアがASM（アタックサーフェス管理）サービスを提供開始：攻撃者目線で脆弱性を評価

NRIセキュアは「マネージドASMサービス」の提供を開始する。外部に公開されている企業のIT資産を探索し、検出したIT資産に対して攻撃者目線でリスクを評価する。

[＠IT]

　NRIセキュアテクノロジーズは2024年6月10日、「マネージドASMサービス」の提供を開始すると発表した。これは、外部に公開されている企業のIT資産を探索し、検出したIT資産に対して攻撃者目線でリスクを評価するサービスだ。

マネージドASMサービスの利用イメージ（提供：NRIセキュアテクノロジーズ）

3つのステップでIT資産のリスクを評価

　ASM（Attack Surface Management）とは、インターネットからアクセス可能な企業のIT資産を発見し、それらに存在する脆弱（ぜいじゃく）性などのリスクを継続的に検出、評価する一連のプロセスのこと。NRIセキュアテクノロジーズは「マネージドASMサービスによって、これまで把握できていなかったIT資産も含めて外部に公開されているIT資産を洗い出し、それらに内在する悪用可能な脆弱性の有無を明らかにすることで、リスク管理を高度化できる」としている。

　マネージドASMサービスは「IT資産と脆弱性の検出」「脆弱性の多角的なリスク評価」「企業への通知とレポート」「推奨対策の助言」という4つの支援を一元的に提供する。同サービスは3つの段階を経て、リスクを評価する。

　1段階目は、企業名やドメイン、IPアドレスなどを基に外部に公開しているIT資産の全体像を把握する。2段階目として、発見したIT資産の利用OSやソフトウェアのバージョン情報、公開ポート、利用可能な管理コンソールなどの外部公開サービスの情報を収集し、内在する脆弱性を検出する。3段階目は、2段階目で検出した脆弱性に対して、NRIセキュアのコンサルタントが「攻撃者の視点」で悪用しやすい脆弱性かどうかを多角的に判断してリスクを評価する。