アタックサーフェス（Attack Surface）は日本語で「攻撃対象領域」と訳され、サイバー攻撃の対象となるIT資産や、攻撃者が足掛かりを得る可能性がある攻撃点、攻撃経路などを指す。

具体的には、WebサーバーやVPN機器、クラウドサービス、アプリケーションなどが該当する。テレワークなど働き方の多様化や、モバイルデバイス・IoT機器の導入、サプライチェーンの広がりからアタックサーフェスが増え、それに伴い企業・組織のリスクも高まっている。

アタックサーフェスの概念を理解し、自組織で該当するものを把握しておくことは、セキュリティ対策を強化するために大切なことだ。

アタックサーフェスは大きく2種類に分けられる。

デジタルアタックサーフェス

ネットワークを介して攻撃を受ける可能性がある領域。Webサーバー、VPN、ソフトウェア、IoT端末などが該当する。

フィジカルアタックサーフェス

物理的な攻撃を受ける可能性がある領域で、USBメモリー、サーバー、PC、スマートフォンなどのほか、IT資産を保有するオフィスやデータセンターが該当する。廃棄されたハードウェアや、ID・パスワードなどが記載された紙のメモも含まれる。

アタックサーフェスに似た概念に「攻撃ベクトル」があり、しばしば混同される。攻撃ベクトルは、攻撃者がシステムなどを侵害する経路や手法のこと。フィッシング、マルウェア、DDoS攻撃、ゼロデイ攻撃、ブルートフォース攻撃などがこれに当たる。

アタックサーフェスに対する外部の攻撃からIT資産を防御する考え方にアタックサーフェスマネジメント（ASM）がある。定義は複数あるが、経済産業省は「ASM (Attack Surface Management）導入ガイダンス」の中で、以下のように定義している。

「組織の外部（インターネット）からアクセス可能なIT資産を発⾒し、それらに存在する脆弱性などのリスクを継続的に検出・評価する⼀連のプロセス」

IT資産の脆弱性を検出・評価するものとして「脆弱性診断」もあるが、ASMは外部からアクセス可能なIT資産が対象となり、組織が把握していない機器なども含まれる。それに対して、脆弱性診断は把握済みのIT資産のみが対象となる。

ASMを実行すると、情報システム部門が把握していない、あるいは想定外で公開状態になっているIT資産を発見できる。

活用シーンとしては、設定ミスなどで外部（インターネット）からアクセス可能になっている社内システムの発見、本社で一元管理できないIT資産の発見、キャンペーンサイトなど情報システム部門が管理していないIT資産の発見などがある。

ASMは、IT資産に含まれている“可能性”がある脆弱性情報を提示する。あくまでも可能性なので、脆弱性診断と比較すると確度は低い。ただし、脆弱性診断では攻撃を模したパケットを送信して行うため、対象機器の動作に支障をきたすケースもあり、その点ではASMの方が安全だ。

1. 対象資産の特定
企業・組織が保有、管理しているIT資産のうち、外部からアクセス可能なものを特定する。対象範囲は、グループ企業やサプライチェーンなどを含む。IPアドレスとホスト名のリストをアウトプットする。
（１）　社外に公開しているWebサイトやWHOIS（ドメイン名登録情報検索）サービスを利用し、組織が管理者となっているドメイン名を特定する。
（２）　（１）で特定したドメイン名から、DNS（Domain Name System）検索やツールなどでIPアドレスとホスト名の一覧を取得する。
2. 情報収集
1.で特定したIT資産の情報を収集する。IT資産のOSとソフトウェア、ソフトウェアのバージョン、オープンなポート番号などが収集対象になる。調査対象に影響が出ないように、Webページの表示など通常範囲のアクセスで行う。
3. リスク評価
攻撃面のリスクを評価する。既知の脆弱性と2.で収集した情報を突合して、脆弱性が存在する可能性を識別する。
4. リスク対応
発見したリスクに対して、アクセス制限やパッチ適用、不要な資産の削除などを行う。

ASM実施に当たっては、調査の実施頻度や、管理者不明のIT資産が見つかった場合の対処方法、攻撃リスクが発見された場合の調査方法なども事前に検討しておくことが望ましい。

ASMと脆弱性診断を適切に組み合わせて、組織内のIT資産を安全に使っていきたい。