【ASMとは】攻撃対象領域を可視化する手法と運用でつまずく5つの理由

なぜ今「攻撃対象領域（アタックサーフェス）の管理」が必要なのか

サイバー攻撃の多くは“外部に公開された資産”から始まる

攻撃者は社内事情を知らなくても、外部の入口を順番に試すだけで侵入の足がかりを得られます。だからこそ、外部に公開された資産をどれだけ把握できているかが、侵入の可否や被害の大きさを左右する決定的な要因になります。

偵察スキャンは過去最多規模に拡大

情報通信研究機構（NICT）の観測では、2025年のサイバー攻撃関連通信は約7,010億パケットと過去最多でした。その多くが、公開された機器を片端から探す「スキャン通信」です。このように攻撃者は休むことなく、外から見える資産を網羅的に探索し、その中から脆弱なポイントを探しています。

出典：NICT「NICTER観測レポート2025」（2026年）を基に作成

https://www.nict.go.jp/press/2026/02/05-1.html

クラウド・SaaS普及で外部公開資産が増加

昨今のクラウドやSaaS、リモートワークの普及で、社外に公開される資産が増えました。しかし、部門単位や検証用に作られては放置されるケースもあり、管理されない資産が蓄積されることで、攻撃対象領域は“広がりやすく把握しづらい”構造を抱えています。

外部公開資産を可視化する取り組み

ASMとは、こうした外部公開資産を攻撃者目線で継続的に発見・可視化し、リスクを評価して是正していく取り組みです。具体像は次章で整理します。

【ASMとは】定義と全体像

ASMの定義

ASMの中心は、次の4つを継続的に繰り返すことにあります。

• 発見： 外部に公開された資産を攻撃者目線で洗い出す
• 可視化： 見つけた資産を一覧として把握できる状態にする
• 評価： 各資産のリスクや危険度を判断する
• 是正： 設定の修正や不要な公開の停止を行う

社内の管理台帳を起点にするのではなく、“攻撃者から見える姿”を起点にする点が、従来の資産管理と大きく異なります。

ASMの特徴

ASMは“自社目線”ではなく“攻撃者目線”で資産を把握する点が特徴です。自社では使っていないつもりの資産も、外部からアクセス可能な状態である限り攻撃対象になります。

攻撃対象領域に含まれる資産の例

攻撃対象領域とは「外から接触できる入り口の総数」です。代表的な資産には次のものがあります。

• 公開サーバー・Webサイト： 外部に公開しているWebサーバーやアプリ
• VPN機器・リモート接続： 社外から社内へ入るための装置
• クラウド・SaaS： クラウドストレージや個別契約のSaaS
• 把握漏れの資産（シャドーIT）： 情報システム部門が把握しない資産

侵入口の8割超は「外から見える資産」

実際の侵入口の大半は、外から見える資産に集中します。警察庁の調査では、ランサムウェアの主な侵入経路はVPN機器が約62％、リモートデスクトップが約22％で、両者で8割を超えます。いずれも社外から社内へ入るために公開された入り口であり、それ自体が侵入経路として直接悪用されるリスクが高いことを示しています。

出典：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年）を基に作成

https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf

EASM・CAASM・DRPSの違いと選び方

ASMの周辺には、EASM・CAASM・DRPSという似た略語が並びます。混同されやすいので、それぞれの役割を整理しておきましょう。

結論：3つは「どこを・どう見るか」が違う

結論から言えば、3つは見る範囲と方法が違うだけで、いずれも攻撃対象領域を把握するアプローチです。

EASM・CAASM・DRPSの違いと選び方

選び方の目安は、「自社が防ぎたい死角がどこか」で考えると整理しやすくなります。

• EASM： まず外から見える入り口（外部公開資産）を押さえたい企業
• CAASM： 社内まで含めて資産全体を一元的に管理したい企業
• DRPS： 漏えい情報やなりすましなど、組織外の兆候を捉えたい企業

3つは排他的なものではありません。被害に直結しやすい外部公開資産をEASMで押さえ、運用が回り始めてからCAASMやDRPSへ広げる進め方が現実的で、組み合わせることで死角を減らせます。

ASMと脆弱性診断との違い

ASMは脆弱性診断のような一度きりの点検ではなく、資産を継続的に把握し続ける取り組みです。脆弱性診断は把握済みの資産の弱点を調べますが、ASMは“どんな資産が外から見えているか”を見つけるところから始めます。つまり、脆弱性診断が「既知資産の深掘り」であるのに対し、ASMは「未知資産の発見を含む継続的な全体把握」である点に本質的な違いがあります。

ASM導入・運用でつまずく5つのポイント

ASMの考え方はシンプルですが、いざ運用するとつまずきやすい点があります。背景には、ASMが“一度可視化して終わり”ではなく、環境の変化に追従し続ける運用を前提とする特性があります。

把握漏れ資産（シャドーIT）が狙われる

クラウドやSaaSは現場判断で増やせるため、情報システム部門が知らないうちに公開資産が生まれます。退役サーバーや検証環境の消し忘れも多く、放置された資産は監視が行き届かないため、攻撃者にとって侵入しやすい入り口になります。

脆弱性是正には優先順位付けが要る

脆弱性を可視化すると対応項目が一気に増えますが、人手も時間も限られます。危険度の高い資産を後回しにすると、対応中に攻撃される恐れがあるため、侵入口になりやすいVPN機器などから優先的に手を打つべきです。

可視化は一度きりでは陳腐化する

クラウド環境は日々変化し、新しいサーバーやサービスが次々と立ち上がるため、すぐに実態とずれていきます。半年前に安全だった構成が、危険な状態に変わっていることも珍しくありません。継続して発見と更新を繰り返す仕組みが欠かせません。

ツール導入だけで満足し、運用体制が整っていない

可視化の仕組みがあっても、出てきた情報を誰がいつ確認し、どう是正につなげるのかという手順が決まっていなければ、結局は使われずに形だけに終わってしまいます。ツール選定と同じくらい、運用における役割分担と対応フローを決めることが重要です。

アラート過多により“本当に危険な資産”が埋もれる

可視化を進めると、アラート（警告）が大量に発生し、本当に危険な資産が埋もれてしまいます。危険度や外部公開の有無で絞り込み、優先順位をつけることで、ASMは実効性を持ちます。

可視化の先：継続監視・検知へ

可視化した先に必要になるのは、継続的な監視と検知です。見える化しても、そこで起きる不審な動きを誰も見ていなければ、侵入の兆候を早期に捉えられません。

可視化と継続監視はセットで考える

攻撃対象領域は、把握した瞬間から変化し続けます。資産の可視化はスタート地点に過ぎず、継続的な監視によって危険な兆候を検知して対応する。この仕組みができると、ようやく外部公開資産を起点とした攻撃に備えられます。可視化（どこに入り口があるか）と継続監視（その入り口で何が起きているか）は、車の両輪のように切り離せない関係にあります。

検知運用の内製が難しい理由

継続監視・検知を自社だけで運用するのは容易ではありません。

• 24時間365日の体制： 攻撃は時間を選ばず、夜間・休日も監視を切らせない
• 専門人材の確保： 大量のアラートから本当に危険なものを見極める知見が要る

当社の調査（NTTセキュリティ・ジャパン調べ、従業員規模101名以上、情報システム担当者933名へのアンケート）では、全体の38.7%が「セキュリティ人材不足」を課題として挙げており、特に101～500名規模の企業では43.2%にものぼります。このように体制と人材の両面で高い負荷がかかるため、単独で継続することが難しい領域となります。

出典：自社（NTTセキュリティ・ジャパン）調べ（従業員規模101名以上、情報システム担当者933名へのアンケート）

MDR/SOCで継続監視・検知・初動を担保

こうした人手の限界を補うのがMDR（Managed Detection and Response）やSOC（Security Operation Center）です。専門アナリストが24時間体制で監視し、危険な兆候を検知して初動対応まで支援します。監視の“見張り役”を専門チームに任せる仕組みであり、自社だけでは維持が難しい監視品質を外部リソースによって安定的に確保することができます。

ASM → EDR → MDR の連携が理想的なセキュリティ体制

理想は、ASMで攻撃対象領域を可視化し、EDR（Endpoint Detection and Response）で端末の動きを監視し、MDR／SOCで継続監視・検知・初動を担保する連携です。可視化・検知・運用が一本につながって初めて、外から見える資産を起点とした攻撃に抜けなく備えられます。

関連記事：今さら聞けない「EDR」とは？基本的な役割と導入後の運用課題をわかりやすく解説

関連記事：【MDRとは？】MSS、SOCとの違いや導入メリット、効果的な組み合わせなどを解説

まとめ：攻撃対象領域の管理は“一度きり”でなく継続運用

攻撃対象領域はクラウドやSaaSと共に変わり続けます。だからこそASMは“一度可視化して終わり”でなく、発見・可視化・評価・是正を回し続ける「運用」として捉えることが大切です。その運用を支えるのがMDR／SOCであり、人手だけに依存せず継続的な監視と対応を担保できます。このようにASMとMDRが一体で機能してこそ、外部公開資産を起点としたリスクに継続的に向き合えると言えるでしょう。