---
title: 診断員によるASMのすすめ
tags:  #セキュリティ #脆弱性管理 #saas #sbom  
author: [はるきち](https://convert.docswell.com/user/7847837919)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/4JM2X285JW.jpg?width=480
description: 【第10回】サイバーセキュリティ勉強会2024冬 in 塩尻 での登壇資料です。   https://shiojiri-cyber.connpass.com/event/302612/  (AIによる要約アイデア) ASM（Attack Surface Management）に関する講演では、組織が自らの情報セキュリティの脆弱性を把握し、攻撃可能な範囲を管理する必要性について説明しています。攻撃者の行動モデルや、内部および外部からの調査方法、具体的なASMツールについても言及しています。各チームの代表を巻き込んで進めることが、効果的なASMの実現につながると強調しています。
published: January 29, 25
canonical: https://convert.docswell.com/s/7847837919/5L1E79-2025-01-29-194959
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/4JM2X285JW.jpg)

診断員による
ASMのすすめ
【第10回】サイバーセキュリティ勉強会2024冬 in 塩尻
2024/02/03 幸田 将司
1


# Page. 2

![Page Image](https://bcdn.docswell.com/page/PJRMNM5ZE9.jpg)

Who am I?
幸田将司:
セキュリティ屋さん:
- 株式会社Levii
- 株式会社バラエナテック 代表取締役
- SecuriST(R) 認定診断士 試験委員会 / ISOG-J(WG1)
- 診断 / 開発 / ISMS支援 ...etc
SNS:
- @halkichisec
2
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 3

![Page Image](https://bcdn.docswell.com/page/PEXVNVK17X.jpg)

Contents
1. ASM検討
2. 攻撃可能領域の探し方
3
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 4

![Page Image](https://bcdn.docswell.com/page/3EKQNQ5MED.jpg)

内容
◼脆弱性診断員から見た、組織の攻撃対象領域のお話
➢診断しながらこれやったら良いのになといつも考えてい
ます。
◼誰向け?
➢脆弱性診断をたくさん発注する組織/企業様
➢○SIRTに携わる方
➢診断員
4
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 5

![Page Image](https://bcdn.docswell.com/page/L73PVPK2E5.jpg)

ASMとはなんぞや
• 攻撃表面管理(Attack Surface Management)
• 組織が自身の情報セキュリティ上の脆弱性や攻撃可能な範囲(攻撃表
面)を管理/把握する。
• 攻撃者がシステムやネットワークに侵入できる可能性のあるすべての
経路や要因を特定する
• インターネットに公開されているものが対象
5
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 6

![Page Image](https://bcdn.docswell.com/page/87DL8L36EG.jpg)

ASMとはなんぞや
• 攻撃表面にはどんなものがあるか?
• 例:
• コーポレートサイト
• 自社サービス
• メール/VPN/ファイルサーバ等
• ネットワークカメラ等のIoT機器
• 担当者のメールアドレス
• 攻撃者から見えているものは多い
6
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 7

![Page Image](https://bcdn.docswell.com/page/VJP282PZJ8.jpg)

攻撃者の行動を考える
• Cyber Kill Chain (標的型攻撃のモデル)
• ターゲットに対して行う攻撃の段階的な手順を示すモデル
• 外部からの情報収集で集められる情報が少ないに越したことはない
情報収集
武器化
配送
エクスプロイ
インストール
ト
C&amp;C
目的実行
・OSINT
・C2サーバとの
・Exploit作成 ・システムへの侵害や
・スキャン
・メール経由のマルウェア
通信
• 攻撃者はより多くの情報を集めてくる
• 自組織がどのように見えているのか把握することが重要
7
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 8

![Page Image](https://bcdn.docswell.com/page/2EVDND2MEQ.jpg)

攻撃表面の例1
• コーポレートサイトや自社サービスに付随するコンテンツは存
在がわかりやすいが、堅牢にされていることが多い。
外部公開しているサービスは堅牢
脆弱性診断もしている
インターネットアクセスできるが
Basic認証とかでお茶濁す
存在が隠れていない
8
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 9

![Page Image](https://bcdn.docswell.com/page/57GYKYRX7L.jpg)

攻撃表面の例2
• 自社サービスに紐づいているが、管理が忘れ去られているコン
テンツ等
ベンダーのために
開けておいた経路
※IPに紐づくコンテンツサーバがなくとも
サブドメインテイクオーバーの温床になる可
能性も。CNAME、Aレコード等
バグバウンティではよく報告されている
9
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 10

![Page Image](https://bcdn.docswell.com/page/4EQMNMV5JP.jpg)

攻撃可能領域の探し方(内部)
• 内部からの調査は部署を横断する必要がある。
• インシデント例
• (2021年)内閣サイバーセキュリティセンター(NISC)の情報漏洩
• 内部で使用していたプロジェクト情報共有ツールへの不正アクセス
• 組織内部で使用している端末やツールの特定を行う
• ISMS(ISO27001)を取得しているなら情報資産管理/リスク台帳があるはず
• 管理している部署と連携をとることを推奨
• シャドーITの制限も忘れずに
10
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 11

![Page Image](https://bcdn.docswell.com/page/KJ4VGVMVE1.jpg)

攻撃可能領域の探し方(外部)
• 外部からの調査の例として、OSINTは効果的
• OSINTツールの使用
• Recon-ng
• Maltego
• OSINTテクニックを使う
• OSINTフレームワーク
• 診断ベンダーへの依頼(OSINT診断)
OSINT Frameworkの例
11
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 12

![Page Image](https://bcdn.docswell.com/page/LE13D384JG.jpg)

• インターネッツから見えるものは多い
• WHOIS、DNS、サーバ証明書のサブジェクト代替名...etc
• 情報集積サービス
• 例えばRiskIQやCencys
ドメインに紐づいた、
サブドメインの一覧を列挙
←は例示用ドメインですが、
dev.{顧客名}.{自社ドメイン}の設計にしている
ベンダーの顧客名めちゃくちゃ見えてる
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 13

![Page Image](https://bcdn.docswell.com/page/GEWPYPZZJ2.jpg)

• Censysの例
①ドメインで検索
②IPアドレスが表示される
③サブドメインがわかる
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 14

![Page Image](https://bcdn.docswell.com/page/47ZKXK1L73.jpg)

• ドメイン/IPで検索できる理由:
• CensysやSHODANに代表される情報集積サービスはインターネッ
トへネットワークスキャンを行なっている。
1. IPアドレスにポートスキャン
2. 443/tcp等にアクセス
一応、HTTPの時はヘッダで教えてくれる。
以下はPaloAltoの例
3. 証明書のドメインを確認
4. ドメインの名前解決を行い、存在すればサイトにインデックス
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 15

![Page Image](https://bcdn.docswell.com/page/YJ6Q4QLMJV.jpg)

というわけでASMしよう
• 攻撃表面を把握するのは困難
• ツールを用いた管理を推奨(経済産業省)。
出典: 経済産業省ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～
https://www.meti.go.jp/press/2023/05/20230529001/20230529001.html
15
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 16

![Page Image](https://bcdn.docswell.com/page/GJ5RQR1Q74.jpg)

ASMツールの例
• Mandiant / 株式会社マクニカ
• Detect /サイファーマ株式会社
パッシブスキャンを
する例(選択化)
• Amass / OWASP
• OSS、どのテクノロジーを使用するか設定が可能、脆弱性調査はしない
アクティブスキャン例
• サイバー攻撃ネットde診断 / GMOサイバーセキュリティ
byイエラエ株式会社
• Sn1per / Sn1perSecurity LLC.
• OSSだが、すべての機能を使うにはライセンス購入が必要
16
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 17

![Page Image](https://bcdn.docswell.com/page/9E2DPD1WER.jpg)

ASMツールで把握できるもの
• 公開情報の把握
• 使用感としては、自社情報だけにフィルターしたSHODANに近い
17
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 18

![Page Image](https://bcdn.docswell.com/page/D7Y252Z97M.jpg)

ASMツールがやっていること
• Sn1perの例
• ネットワーク調査系
• ping調査
• ポートスキャン (nmap)
• 単純な脆弱性調査 (nmap –A)
• OCINT系
• DNS情報の収集
• サブドメインテイクオーバーの確認
使用感は
Reconツール
+
ネットワークスキャナー
• 脆弱性診断系
• ZAP / GVM / SSL Scan / smbdump ...etc
• 関係ないIPもトラッキングする可能性はあった。
18
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 19

![Page Image](https://bcdn.docswell.com/page/VEN8N83DJ8.jpg)

ASMでも担保できない箇所
• 従業員教育
• 組織の窓口にいる担当者がうっかりメールを開く
• シャドーIT
• 内部に持ち込まれ接続された端末や、勝手に使用しているツール
• 情報資産管理(ISMS)や、リテラシー向上教育で組織を巻き込ん
で管理したい。
19
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 20

![Page Image](https://bcdn.docswell.com/page/Y79KRK9873.jpg)

参考: 組織を巻き込む
• そもそも職務により目的/視点が違うため、各チームの代表を
まきこんでモデリングすると、少しスムーズに進むかも
• サービスのセキュリティチェックシートを作る際のMTGの例
それぞれのロールの
背景や目的を同じ視点でみる
ための手法(構造化)
20
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


# Page. 21

![Page Image](https://bcdn.docswell.com/page/G78RWR9ZED.jpg)

おわり
• ご清聴ありがとうございました
21
Copyright ©︎ [BalaenaTech Co., Ltd.] 2024 All rights reserved


