攻撃対象領域管理: 完全ガイド

攻撃対象領域管理 (ASM) とは、組織がインターネットに公開しているすべてのものを見つけ出し、それらのそれぞれに弱点がないか評価し、変化がないか監視する実践です。 難しい部分が評価であることはほとんどありません。それは自分が何を持っているかを知ることです。

ほとんどの組織は、メインの Web サイトと製品に名前を付けることができます。すべてのサブドメイン、すべてのステージング環境、すべてに名前を付けることができる人ははるかに少数です。3 年前に設立された請負業者と、期限切れが近づいているすべての証明書をサーバーに保管します。攻撃者はあなたに知る必要はありません。そのうちの 1 つだけが弱い必要があります。

このガイドでは、攻撃対象領域とは何か、ASM ツールが実際に何をチェックするのか、そして資産リストのソースが読む価値があるかどうかを判断する理由について説明します。

攻撃対象領域とは何ですか?

攻撃対象領域は、部外者がアクセスして操作できるすべてのものです。あなたに関する情報を明らかにするものすべて。実際には、これはドメインとサブドメイン、Web アプリケーション、API、メール サーバー、オープン ポートとその背後にあるサービス、TLS 証明書、DNS レコード、およびパブリック エンドポイントを備えたクラウド リソースを意味します。

具体的な例

1 つの製品を扱う 80 人の会社を考えてみましょう。

彼らは company.com と app.company.com について知っています。攻撃対象領域には、ホストされている blog.company.com も含まれます。コンテンツ リードが去ってから誰もログインしていないプラットフォーム、一時的なものであるはずの staging.company.com、更新の受信を停止したアプライアンスを指す vpn.company.com、会社がキャンセルしたクラウド サービスを指す old-crm.company.com の DNS レコード、そしてドメインから送信されたように見える電子メールを誰でも送信できるメール レコード。

それはどれも珍しいことではありません。それは単に、組織が目的のために活動するときに起こることです。数年。

外部と内部の比較

攻撃対象領域の管理とは、外部からの視点、つまり公共のインターネット上の誰かが資格情報なしで表示およびアクセスできるものを意味します。意図的に攻撃者の視点になっています。

社内資産、従業員のラップトップ、および企業ネットワークの背後にあるものは、別の問題であり、別のツールで処理されます。 ASM はそれらをカバーしておらず、両方を行うと主張するツールは通常、どちらか一方を浅く実行しています。

なぜそうなるのか成長し続ける

攻撃対象領域は、通常の作業を通じて静かに増大します。

  • シャドウ IT。 チームがサービスにサインアップし、そのサービスにサブドメインを指定します。
  • 放棄されたインフラストラクチャ。 プロジェクトは終了します。 DNS レコードはそれよりも長く存続します。
  • クラウドの弾力性。 環境は迅速に作成され、ゆっくりとクリーンアップされます。
  • 買収と請負業者 あなたは、自分が作成していないドメインを継承します。
  • 展開の迅速化。 リリースが増えると、設定が有効になる可能性が高くなります。誰にも気づかれずに落とされてしまう。

その結果、組織が持っていると考えているものと実際に明らかになっているものとの間にギャップが生じます。 ASM はそのギャップを埋めるために存在します。

攻撃対象領域の管理とは何ですか?

攻撃対象領域の管理は、インターネットに接続されている資産を発見し、そのセキュリティを評価し、変化を監視する継続的なプロセスです。 これは、3 つの質問に順番に答えます: 何が存在するのか、何が問題なのか、何が変化したのか前回から。

作業は 4 つのステップに分かれています。

  1. 発見 インターネットに接続された資産のインベントリを作成します。
  2. 在庫 どれがあなたのもので、どれが重要で、誰が所有しているかを決定します。
  3. 評価 各資産の弱点、構成ミス、既知の脆弱性を確認します。
  4. 監視 導入間で姿勢が低下するため、スケジュールに従って再確認します。

ステップ 1 は、ほとんどの価値とほぼすべての困難を伴う場所ですライブ。

アセットリストの出所と、それがすべてを決定する理由

2 つのツールは、異なる方法で資産リストを作成したため、同じチェックを実行して、まったく異なる値のレポートを生成する可能性があります。

アプローチ 1: インターネットから推測する

ほとんどの ASM ツールはドメインから始まり、他に何が属しているかを推測します。証明書の透過性ログ、パッシブ DNS レコード、パブリック登録データを読み取り、ヒューリスティックを適用します。名前、共有 IP アドレス、一致するインフラストラクチャ。

これにより、あなたが知らなかったものが見つかり、本当に役立ちます。また、次の 2 つの予測可能な故障モードも生成されます。

  • 自分のものではない資産。 共有ホスティング、再利用された IP 範囲、または同様の名前は、サードパーティのインフラストラクチャを引き込みます。あなたのレポートには、他の人のサーバーに関する調査結果が含まれています。
  • 決して見つからない資産。 一致するパブリックトレースを残さないもの。ヒューリスティックは目に見えないままになります。

最初の失敗モードは、採用を台無しにするものです。エンジニアがレポート内で海外資産を見つけると、すべての発見が疑わしいものとなり、信頼できないツールは無視されます。これは、チームが ASM プラットフォームを放棄する一般的な理由として挙げられます。

アプローチ 2: 信頼できる情報源からインポートする

別の方法は、推測をやめて、すでに知っているシステムに尋ねることです。すべての組織の DNS プロバイダーは、そのゾーンとレコードの信頼できるリスト。ゾーンファイルのエクスポートも同様です。

インベントリが顧客自身の DNS アカウントから取得されている場合、その中にサードパーティのアセットが表示されることはできません。このリストは最良の推測ではありません。それは記録システムから得られた事実です。 2 つのアプローチは対立するものではなく、補完的なものです。インポートはグランドトゥルースを確立し、ディスカバリはそこに欠けているものを見つけます。 重要なのは、ツールがどれがどれであるかを教えてくれるということです - そのため、特定の資産があなたが宣言したものであるか、ツールがあなたのものであると信じているものであるかがわかります。

それが実際に何を意味するか

ASM ツールを評価する ときは、次のように尋ねてください。

  • DNS からアセットをインポートできますかプロバイダーまたはゾーン ファイルですか、それともそれらを推論するだけですか?
  • レポートには各資産の出所が示されていますか?
  • 間違っている場合はどうなりますか?アセットを削除しても、その決定をそのままにすることはできますか?
  • ツールは、ドメインをスキャンする前に、実際にドメインを制御していることを確認しますか?

最後の質問は、見た目よりも重要です。要求に応じてあらゆるドメインをスキャンするツールは、要求者に対する偵察サービスであり、セキュリティ製品ではありません。証拠を要求する所有権 (DNS レコード、サーバー上のファイル、メタ タグ) は、この 2 つを分離する制御です。 Cloudflare、AWS Route 53、Azure DNS を含む 8 つの DNS プロバイダーについて、そのプロセスを段階的に文書化します。

アセットを認識した後に ASM がチェックする内容

一度在庫が存在する場合、評価は複数の層に及びます。それぞれが異なる質問に答え、異なる方法で失敗します。

TLS と証明書の構成

暗号化された接続が実際に安全かどうか: どのプロトコル バージョンが有効になっているか、どの暗号スイートが提供されているか、証明書が有効かどうか、正しくチェーンされているかどうか、有効期限が切れていないかどうか。 一般的な調査結果としては、古いプロトコル バージョンが有効なままになっている、証明書が警告なしに期限切れになっている、一部のクライアントで壊れて他のクライアントでは壊れていない不完全な証明書チェーンなどが挙げられます。 TLS スキャンの詳細な検査内容。

HTTP セキュリティと既知の脆弱性

Web アプリケーションが防御的に構成されているかどうか、また、Web アプリケーションを実行しているソフトウェアに既知の欠陥があるかどうか。これは、セキュリティ ヘッダー、各ヘッダーで検出されるテクノロジーをカバーします。ホストを調べ、それらのテクノロジーとバージョンを公開された脆弱性 (CVE リスト) と照合します。

CVE は、一意の識別子を持つ、公的にカタログ化されたセキュリティ上の欠陥です。ソフトウェアのバージョンをそのカタログと照合すると、既知の文書化された弱点があるものを実行しているかどうかがわかります。 HTTP スキャンの詳細な検査内容。

オープンポートと公開サービス

どのネットワーク ポートが応答するかインターネットとその背後でリッスンしているもの。ポート 443 上の Web サーバーが予期されます。データベース、リモート デスクトップ サービス、または管理インターフェイスにはどこからでもアクセスできません。 ポート スキャンの詳細な検査内容。

DNS 構成と電子メールのスプーフィング

DNS が安全に構成されているかどうか、およびドメインから送信されたように見える電子メールを誰でも送信できるかどうか。これは、SPF、DKIM、および DMARC レコードを対象としています。メール認証、メール トランスポート セキュリティのための MTA-STS および TLS-RPT、DNS 整合性のための DNSSEC、および完全なレコード セットを漏洩する可能性のある構成。

電子メール認証の欠落は最も一般的な調査結果の 1 つであり、自社のスタッフ、顧客、サプライヤーに対する確信犯的なフィッシングが可能になるため、最も悪用されやすいものです。 DNS スキャンの詳細な検査内容。

ドメインの評判

ドメインとアドレスがブロックリストまたは脅威インテリジェンス フィードに表示されるかどうか。評判の問題は、原因を調査するずっと前に、配信の失敗として表面化します。

サブドメインと忘れられたホスト

ここでの具体的なリスクは列挙を超えて、サブドメインの乗っ取りです。DNS レコードは、組織が使用しなくなったクラウド サービスを指したままです。そのサービス名を主張する人は、現在、あなたのサイトから提供されるコンテンツを制御しています。サブドメインには、自分の名前と、多くの場合は証明書が含まれます。

ASM、脆弱性管理、侵入テスト

これらは常に混同されます。彼らはさまざまな質問に答えます。

質問に答える範囲ケイデンス
攻撃対象領域の管理私たちは何を暴露しますか? それは弱いのでしょうか?インターネットに接続、未認証継続的またはスケジュールされた
脆弱性管理私たちの資産全体にどのような既知の欠陥が存在しますか?内部および外部、多くの場合認証される予定
侵入テスト熟練した攻撃者が実際に侵入できるでしょうか?範囲指定、事前同意定期的、通常は毎年

ASM は最も広く、最も浅いです。侵入テストは、最も狭くて最も深い。脆弱性管理はそれらの間に位置し、通常、ユーザーが自分が何を所有しているかをすでに知っていると想定します。これは、ASM がユーザーの行動を阻止するために存在するという前提です。

彼らは代替品ではありません。 ASM はペンテスターに​​どこを見るべきかを指示します。

EASM、CAASM、およびその他の頭字語

このカテゴリには、あたかも次のように使用される 4 つの頭字語が集められています。 交換可能。違いは主に、どこにあるかです。 データが来るから。

EASM - 外部攻撃対象領域管理。 外部からのビュー。 資格情報: 公共のインターネット上の誰かがアクセスできるもの。それは何ですか、これは ガイドで説明されており、これが AYAsec の動作です。

CAASM - サイバー資産の攻撃面管理。 次の方法で 1 つのインベントリを構築します。 すでに実行しているツール (エンドポイント エージェント、クラウド) から資産データを取得する アカウント、アイデンティティプロバイダー、CMDB - API 経由。はるかに多くのものを見ることができます よりもアウトサイドインスキャン、内部資産が含まれるが、ツールが存在する場所のみ すでにインストールされており、報告されています。誰も教えてくれなかったホストの姿が見えません。

DRPS - デジタル リスク保護サービス。 外部で何が起こっているかを監視します。 インフラストラクチャ: 認証情報の漏洩、なりすましのために登録された類似ドメイン あなた、あなたのブランドが、本来あるべきではない場所に現れるのです。

CTEM - 継続的な脅威露出管理。 の製品カテゴリではありません。 全て。これはプログラム モデルです - スコープ、発見、優先順位付け、検証、動員 - 上記のツールはその中で使用するものです。あなたを販売するベンダー 「CTEM プラットフォーム」はその一部を販売しています。

短いバージョン: EASM は、あなたが暴露したことを知らなかったものを見つけます、CAASM 自分が所有しているとすでにわかっているものを整理し、DRPS は他の人が何をしているかを監視します あなたの名前と一緒に。大規模な組織では、複数の組織を実行することになります。小さいもの 通常は開始します外の景色が見える、そこは誰も資産を持たない場所だから 覚えています。

最初の攻撃対象領域スキャンを実行する方法

どのツールを使用する場合でも、手順は同じです。

1. 1 つのドメインから始めます。 完全な資産ではなく、プライマリ ドメインです。あなたが求めているのはプロジェクトではなく、今日の結果です。

2.自分の所有物であることを証明してください。 信頼できるツールは、スキャンする前に証拠を要求します。通常は、DNS TXT レコード、既知のパスにあるファイル、またはファイル上のメタ タグです。ホームページ。多くの場合、DNS の管理者に問い合わせることになるため、この手順には最も時間がかかることが予想されます。

3.検出を実行します。 サブドメインと関連ホストのリストが表示されます。何よりも先に読んでください。ほとんどのチームにとって最初の本当の驚きは、脆弱性ではありません。それは彼らが忘れていた財産なのです。

4.重要なものをグループ化します。 見つけたものすべてが同等の注目に値するわけではありません。生産と実験を分離します。

5.スキャンして読む検出結果は数ではなく重大度によって表示されます。 重大度の低いヘッダー警告 30 件は、公開されたデータベース 1 つよりも重要ではありません。

6.スケジュールに入れてください。 1 回のスキャンはスナップショットです。値はスキャン間の比較にあります。

これが毎日どのように見えるかはチームによって異なります。セキュリティ チーム と マネージド サービス プロバイダー を参照してください。

AYAsec では、これはドメイン上で Discovery として実行され、その後、保持している資産全体がスキャンされます。アセットは、Cloudflare、AWS Route 53、Azure DNS、Google Cloud DNS、DigitalOcean、GoDaddy、Hetzner、または Contabo から直接インポートすることも、アップロードされたゾーン ファイルからインポートすることもできます。ガイド付きワークフローは ドキュメントのステップバイステップ.
すべてのスキャン タイプがすべてのプランに含まれています。1 つは無料です。 最初のスキャンを実行します

一般的な調査結果とその意味

最初のスキャンで明らかになった問題のほとんどは、同じ少数の問題によって説明されます。

サブドメイン乗っ取りのリスク 使用しなくなったサービスを指す DNS レコード。重大度: 高。レコードを削除して修正します。

古いバージョンの TLS プロトコルが有効になっています。 古いバージョンは互換性のために残されており、必要になることはほとんどありません。重大度: 中、およびそれはあらゆる評価体系を引き下げます。サーバー構成を修正します。

DMARC が欠落しているか、設定が間違っています。 DMARC がないと、誰でもあなたのドメインから送信されたように見えるメールを送信できます。重大度: 高。技術的なリスクではなく、組織的なリスクです。監視モードで開始してレコードを公開することで修正します。

インターネットに公開される管理サービス。 リモート デスクトップ、データベース ポート、管理コンソール。重大度: クリティカル。制限IP アドレスで指定するか、VPN の背後に配置します。

有効期限が近づいている証明書。 脆弱性ではなく、予測可能な日に自らが引き起こした機能停止です。

スキャンはどれくらいの頻度で行うべきですか?

セキュリティ体制は静かに悪化します。デプロイメント中にヘッダーが表示されなくなります。証明書の有効期限が近づいています。互換性の問題を修正するためにプロトコルが再度有効になります。そのどれもが発表されておらず、目に見えて何かを壊すものでもありません。 この段階的な侵食が、1 回限りの評価が著しく古くなってしまう理由です。実際的な答えは、展開する頻度によって異なります。安定した資産の場合は毎週の再スキャンが妥当なベースラインであり、頻繁に出荷する場合は毎日が適切です。間隔よりも重要なのは、成績が下がったときに誰かが見に行くのではなく通知されることです。 修復証拠の証跡を構築する方法をご覧ください。

これが表示される場所EUの規制

EU の 2 つの法律は、別の言葉で、何を知っておく必要があるかを述べています。 あなたは走ります。

NIS2 (指令 (EU) 2022/2555) 2024 年 10 月 17 日までに国内法に書き込む必要がありました。第 21 条には以下が列挙されています。 不可欠かつ重要な企業が講じなければならないリスク管理措置、 その中には、脆弱性への対応とサプライチェーンのセキュリティも含まれます。どちらでもない ホストなら誰でも可能を書き留めています。

DORA (規制 (EU) 2022/2554) 2025 年 1 月 17 日以降、銀行、保険会社、投資会社、および EU内で運営されている決済機関。第 8 条はより直接的なものであり、財政的なものです。 企業は情報と ICT 資産を特定、分類、文書化する必要があります。 構成と依存関係を含む重要なものをマッピングし、 でそのドキュメントを確認してください少なくとも年に一度。

この要件を、資産リストの記載場所に関する前のセクションと照らし合わせて読んでください。 から。推論によって集められた目録は、入力を防御できない文書である 各行がなぜそこにあるのか、誰がそれを決定したのかを説明できないため、入力によるものとします。 あなたの。あなたが管理する DNS ゾーンから取得されたインベントリは、次のように説明できます。 尋ねる人。

これは意味しません。 AYAsec はコンプライアンス ツールではなく、 証明書を作成します。どちらの法律にも準拠できるスキャナーはありません。 そうではないとほのめかすベンダーは、あなたに何かを売りつけようとしています。スキャンによって生成されるものは、 何が暴露され、それがどのような状態にあったのかを示す日付の付いた証拠 - 物の種類 監査人が要求するもので、手作業で組み立てるのは面倒なものです。

よくある質問

攻撃対象領域の管理は EASM と同じですか?

EASM (外部攻撃対象領域管理) は、より正確には、外部のみのビューを表す用語です。実際には、ASM として販売されているほとんどのツールは EASM です。ベンダーがより広い意味で意味しているのであれば、そう言うべきです。

すでに脆弱性スキャンを実行している場合、これは必要ですか?

脆弱性スキャンにより、対象となる資産の欠陥がわかります。 ASM は、どの資産が存在するかを示します。在庫が不完全な場合は、スキャンも不完全です。

最初の結果が得られるまでにどれくらい時間がかかりますか?

での発見単一ドメインの場合、通常は数分です。ドメインの所有権を証明するのが遅いのは、通常、他の誰かに依存しているためです。

スキャンすると何か問題が発生しますか?

外部評価は圧倒的に受動的、あるいは影響力が低い。アクティブな Web アプリケーションのテストは例外であり、所有するシステムに対して、理想的にはピーク時間外に意図的に実行する必要があります。

所有していないドメインをスキャンできますか?

いいえ、次のことを可能にするツールには疑う必要があります。あなた。所有権の確認は機能であり、障害ではありません。