SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

EnterpriseZine Day 2024 Summer

2024年6月25日(火)オンライン開催

予期せぬ事態に備えよ! クラウドで実現するIT-BCP対策 powered by EnterpriseZine

2024年7月10日(水)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

Security Online Day 2024 春の陣レポート(AD)

IT資産の弱点を徹底的に守るには Mandiantが考える「アタックサーフェス管理」の選び方と活用法

狙われるサプライチェーン攻撃、Mandiant ASMで「弱いところ」を守る

 サプライチェーンセキュリティをテーマに開催された、EnterpriseZine編集部主催のセキュリティイベント「Security Online Day 2024 春の陣」では、「『弱いところ』を徹底的に守れ! リスクベースで考えるアタックサーフェス管理、実践編」と題し、Google Cloud マンディアント事業本部 セキュリティ・アーキテクトの桐谷彰一氏が講演を行った。なお、Mandiantは2022年に買収され、現在はGoogle Cloudの一員となっている。

継続的な「アタックサーフェス管理」が必要な理由

 DXやグローバル化が加速している現在、サプライチェーンが「弱い鎖」となり、企業に深刻な被害を及ぼすことが増えている。サイバーセキュリティの攻撃と防御、その最前線においては「アタックサーフェス管理(Attack Surface Management:ASM)」の必要性が増してきたと、桐谷氏は昨今の脅威状況から説明を始めた。

 VPN装置の脆弱性が悪用され、ランサムウェアの被害に遭ったとのニュースを耳にする。Mandiantの調査によると、コロナ禍では8つを超える犯罪者グループが20以上のVPN製品の脆弱性を悪用してランサムウェア侵害事件を起こした。VPN装置から侵入し、工場のラインや病院の院内業務がランサムウェア攻撃で止まってしまうといったケースもその例だ。

[画像クリックで拡大]

 このような侵害事件の増加を受け、2023年5月には経済産業省が『ASM(Attack Surface Management)導入ガイダンス』を公表している。ポイントは、インターネット経由で外部からアクセス可能なIT資産を発見し、リスクを継続的に検出・評価すること。これにより把握していない端末機器や意図しない設定ミスを攻撃者視点で発見し、リスクを低減する効果が期待される。

 「継続的に実施することが重要なポイントです。一度きりで終わるのではなく、継続的なプロセスとして検出・評価することが大切だということを認識してほしい」と桐谷氏。米国CISA(Cybersecurity and Infrastructure Security Agency)による2022年の通知でも政府機関に対して、自動化された資産探索の実行を1週間ごと、そして資産探索で見つけた資産に対して脆弱性の一覧化を2週間ごとに行うこととされている。IT資産の棚卸しや脆弱性検査を実施している企業・団体は多いが、年1回の単発での施策に止まっているケースがほとんどであり、近年のサイバー脅威に対応することは難しい。より短いサイクルで資産の可視化と脆弱性の検査を行うべきと、米国では一歩踏み込んだ動きが見受けられる。

 「Mandiant Advantage Attack Surface Management(Mandiant ASM)」は、こうした昨今の要件に対応し、攻撃の起点となり得るアタックサーフェスをより適切に管理することで侵害リスクを軽減することを目的としている。組織ドメインなどの情報を基にインターネット経由で資産探査を行うもので、本社やグループ会社、海外拠点、サプライチェーン、さらにはクラウド上のリソースまでも探査の対象とすることができる。

[画像クリックで拡大]

 具体的には、企業のアセット特定・可視化を行い、それらのIT資産でどのようなアプリケーションやプラットフォームが稼働しているのか判定も行う。その上で脅威インテリジェンスを活用してリスクを明らかにし、セキュリティ上の懸念や問題点がないかを評価するという。「攻撃者から狙われる隙がないかを毎日自動で探索・評価します。問題点が確認された場合でも、優先順位をつけてしっかりと対応できるように支援します」と桐谷氏は述べる。

次のページ
アタックサーフェス管理、有効なユースケースとは?

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
関連リンク
Security Online Day 2024 春の陣レポート連載記事一覧

もっと読む

この記事の著者

谷川 耕一(タニカワ コウイチ)

EnterpriseZine/DB Online チーフキュレーターかつてAI、エキスパートシステムが流行っていたころに、開発エンジニアとしてIT業界に。その後UNIXの専門雑誌の編集者を経て、外資系ソフトウェアベンダーの製品マーケティング、広告、広報などの業務を経験。現在はフリーランスのITジャーナリスト...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

提供:Google Cloud

【AD】本記事の内容は記事掲載開始時点のものです 企画・制作 株式会社翔泳社

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/19468 2024/04/19 10:00

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング