サイバー攻撃に遭う可能性を最小化する
脅威を「予防」するエクスポージャー管理

　アタックサーフェスとは、ネットワーク機器、インターネットに接続されたシステムやアプリケーション、デバイス、外部に公開しているWebサイトなど、サイバー攻撃者に狙われる可能性のある環境／領域を指す言葉だ。例えばネットワーク機器ではファームウエアの脆弱性が不正アクセスの対象になりやすい。Webサイトやアプリケーションでは脆弱性を突かれることによる改ざん、DDoS攻撃などのリスクがある。

　これらを狙う攻撃が増える中、実際の被害事例も多数報告されている。例えば、2024年2月に公表されたリモートアクセスツール ConnectWiseの脆弱性は、1台当たり最大15万台のクライアントを収容できるインターネット上のサーバー1万台以上に影響を及ぼした。「また、7月に発見されたリモートサインイン用接続ツールOpenSSHの脆弱性は、LinuxOSに加えて大手ネットワーク機器メーカーのデバイス150種類にも影響を与えました」とウィズセキュアの太田 浩二氏は紹介する。

　ウィズセキュアは、先進的なサイバーセキュリティテクノロジープロバイダーの「F-Secure（エフセキュア）」を前身とした企業である。2022年3月、エフセキュアが個人向け／法人向けで事業を分割したことに伴い、法人向けセキュリティサービスの新ブランドを担う組織として立ち上げられた。

　同社が指摘する通り、いまやアタックサーフェス管理（ASM）は企業・組織にとって喫緊の課題になっているといえるだろう。日本でも2023年5月に経済産業省がASMのガイドラインを発表し、企業のセキュリティー戦略にASMを組み込むことを奨励している。

　「脅威の侵入はもはや防ぎきれないという考え方のもと、『事前防御』から『事後対処』への対策のシフトが起こったのが2010年代の初めです。そこではEDRなどのソリューションが広く導入されるようになりました。ところが、現在のアタックサーフェスに対する脅威の拡大を受けて、あらためて攻撃を未然に防ぐことの重要性に注目が集まっています。そこでは、単に検知して対処するだけではなく、アタックサーフェスをなるべく減らすことで、攻撃を『予防』するアプローチが重要になっています」と太田氏は言う。

　そこで同社が、そのための手法として提唱しているのが、「エクスポージャー管理」である。 　エクスポージャー（Exposure）とは「露出」を意味する言葉だ。脅威の侵入を少しでも減らすための事前対策と、侵入される前提での事後対策の両軸でセキュリティーを強化する。インターネットに露出しているIT資産のリスクを可視化し、継続的に管理することでビジネスリスクを低減するアプローチだ。

　対象になるシステム／環境には、ASMの対象でもある外部アセット（ネットワーク機器、IoT機器、サーバーなど）、クラウドアセット（Amazon Web ServicesやMicrosoft Azureなど）に加え、Entra IDに代表されるアイデンティティも加わる。これらを網羅的かつ継続的に可視化することで、内部に潜んだ脆弱性、人に起因する設定ミスなどを検出して改善し続けるのである。

　「ID（アイデンティティ）は各種サービスにアクセスする際、インターネットに露出する資産となります。フィッシングや盗難の標的になりやすいため、リスク管理の対象に含めることが不可欠です」（太田氏）。このIDまでを含めて可視化・管理する点が、ASMとの最大の違いであり、エクスポージャー管理がより効果的なアプローチとして注目される理由といえるだろう。

　DXの進展により、今後はインターネットに露出する資産や情報がさらに増え続けることが予測される。あらゆるIT資産に潜在する脆弱性の発見および発見された脆弱性に対するリスクの評価と対応の優先順位付け、そしてリスクを緩和・除去するためのアクションといったステップを継続的に実行するエクスポージャー管理が、ビジネス継続を図る上で重要になっている。

　エクスポージャー管理を効果的に実践するためのソリューションが、「WithSecure Elements Exposure Management」だ。「WithSecure Elements Cloud」の一部として提供されるエクスポージャー管理ソリューションである。 　Elements Exposure Managementを利用することで、組織のIT資産がどれほどアクセス可能な状態で外部に露出しているか、それらの資産がどれほど簡単に侵害されようとしているかを適切に評価し、対処することが可能になる。

　特長的な機能が「エクスポージャーダッシュボード」だ。IT資産全体のスキャンによって検出した様々な問題を、ウィズセキュア独自の脅威インテリジェンス、組織のビジネスコンテキストに基づくアセットの価値といった情報を加味して分析し、リスクベースで表示する。また、AIを活用したレコメンデーション・エンジンも搭載。これを利用すれば、IT管理者や技術チームに対して「最初に何を行うべきか」「どうやって修復すればよいか」などに関わるガイダンスも提示できるという。

　「提示されたガイダンスを参考にして作業を行うことで、攻撃対象領域を減らし、ビジネスのリスクレベルを容易に下げることが可能です。ビジネスへの影響が大きく、かつ修復に手間がかからないエクスポージャーから優先的に修復していけるため、対応にかかる時間やリソースも最適化できます」と太田氏は説明する。

　とはいえ、多くのエクスポージャーに対応する中では、社内のIT管理者だけでは影響範囲を特定できない問題や、提示された修正を実行することで起こる影響をすぐに想定できないケースも出てくるだろう。そのような場合はウィズセキュアの専門家に支援を依頼することも可能だ。

　管理ポータルに配置されたエスカレーションボタンをクリックするだけで、いつでも簡単にチャット形式で相談できる。詳細な分析によるコンサルテーションサービスも用意されているため、高度な対応の実現や、リスク回避に向けた取り組みをスムーズ化することができるだろう。

　ウィズセキュアは、前身であるデータフェローズ、エフセキュア時代を含めると、既に35年以上の歴史を持つセキュリティーベンダーである。高度な知見を備えたコンサルタントを多数擁しているほか、SOCチームの品質においても世界屈指を誇る。同社とパートナーシップを組むことで、強力なバックアップのもと、エクスポージャー管理に向けた最適な仕組みを構築していくことができるはずだ。