脆弱性監視システム（GMO ASM）
概要
GMO ASM（正式名称: 「GMOサイバー攻撃 ネットde診断 ASM」）は、GMOサイバーセキュリティ by イエラエが提供する国産のASM（Attack Surface Management: 攻撃対象領域管理）ツールです。インターネットから到達できる自組織のIT資産を洗い出し、そこに存在する脆弱性を継続的に診断・可視化します。
従来の脆弱性診断が「診断対象を指定して、ある時点で実施する」ものであるのに対し、ASMは「そもそも対象が何かを探すところから始め、定期的に繰り返す」点が異なります。
注記
本ドキュメントは公開情報に基づく一般的な解説です。提供機能・対象範囲・料金・契約条件は変更されることがあるため、導入検討時は必ず提供元の最新情報を確認してください。
なぜASMが必要か
- 未把握資産（シャドーIT）の存在: 過去のキャンペーン用サイト、検証環境、買収・統合した組織のドメイン、担当者不明のサーバなど、管理台帳にない資産が攻撃の入口になります。
- 攻撃者は外から見ている: 攻撃者はまず公開情報（ドメイン、IPアドレス、証明書、バナー情報など）から標的を探します。同じ視点で自社を見ることが重要です。
- 新規脆弱性の公開が早い: 脆弱性は日々公開されます。年1回の診断では、次の診断までの間が無防備になります。
- ネットワーク機器・ミドルウェアの脆弱性: VPN装置やWebメールなど、境界に置かれた製品の脆弱性が実際の侵害に悪用される事例が続いています。
基本的な仕組み
- 入力: 社名、サービス情報、既知のドメイン・IPアドレスなどを起点とします。
- 資産の探索（棚卸し）: 攻撃者の視点で、外部に公開されているWebサイトやネットワーク機器を洗い出します。
- 構成の判別: ドメインごとに利用しているシステム構成要素を判別し、タグとして表示します。
- 脆弱性診断: ツールによる診断を定期的（週次などの自動実行）に行い、必要に応じて臨時診断も実施できます。
- リスク評価と優先順位付け: 検出した脆弱性をスコアや悪用情報で評価し、対応順を決めます。
- 対処と再確認: 修正後に再診断し、資産リストの更新に戻る継続的なサイクルです。
主な機能
| 機能 | 内容 |
|---|---|
| ドメイン棚卸し | 外部公開されているIT資産を自動で洗い出し、一覧化する |
| システム構成の自動タグ付け | AWS、WordPress、レンタルサーバ、ネットワーク機器、CDN などの構成要素を判別して表示する |
| WAFの自動判別 | 利用中のWAF製品を判別し「WAF」タグとして表示する |
| 脆弱性診断・結果表示 | 検出した脆弱性をCVSSスコアやPoC（実証コード）の有無で確認できる |
| 特定製品の検知 | Webメールソフトなど、緊急度の高い脆弱性が公表された製品のバージョン・脆弱性を検知する |
ヒント
機能は継続的に追加・改善されています。上表は一例であり、最新の対応範囲は提供元の発表で確認してください。
検出結果の読み方と優先順位付け
ASMは大量の指摘を出すため、「全部直す」のではなく**優先順位付け（トリアージ）**が運用の中心になります。
| 観点 | 見るべきポイント |
|---|---|
| CVSSスコア | 深刻度の基準値。ただし環境依存要素は含まれない |
| PoCの有無 | 実証コードが公開されていれば、悪用される可能性が高い |
| 公開範囲 | 認証なしでインターネットから到達できるか |
| 資産の重要度 | 個人情報・基幹システムに近いか、検証環境か |
| 構成タグ | WAFやCDNの背後にあるか（緩和策の有無の目安） |
警告
WAFで保護されていることは、脆弱性が存在しないことを意味しません。WAFは緩和策であり、根本対策（パッチ適用・設定修正・不要な公開の停止）の代替にはなりません。
導入・運用のポイント
導入前に決めること
- 診断対象の範囲: 自社ドメイン、グループ会社、委託先運用の資産をどこまで含めるか
- 権限と合意: 自社管理外（クラウド事業者、委託先）の資産に診断を行う場合の事前合意
- 診断負荷: 定期診断が本番環境へ与える影響の確認（実施時間帯、許容負荷）
運用で回すサイクル
- 新規資産の確認: 検出された未把握資産に所有者（オーナー）を割り当てる。不要なら公開停止
- 脆弱性のトリアージ: 優先度の高い指摘から担当チームへチケット化
- 対処と再診断: 修正後に再診断し、解消を確認
- 例外管理: 対処しない（できない）指摘は、理由・期限・代替策を記録して承認を得る
- 定期レビュー: 件数の推移、平均対処日数（MTTR）、未把握資産の発見数を指標として振り返る
他の脆弱性対策との関係
| 手法 | 見る対象 | 強み |
|---|---|---|
| ASM（本ドキュメント） | 外部公開されている資産全体 | 未把握資産の発見、継続監視 |
| SBOMと脆弱性スキャン | 自社ソフトウェアの依存ライブラリ | 開発段階での混入防止 |
| DevSecOpsと静的解析 | ソースコード | コードの欠陥を早期検出 |
| 手動の脆弱性診断・ペネトレーションテスト | 重要システムの個別対象 | ロジックの欠陥など自動化しにくい問題 |
ASMは「外から見える表面」を継続的に監視する役割で、他の手法を置き換えるものではなく補完する位置づけです。
注意点
- 誤検知・見落としはあり得る: 外部からの観測に基づくため、認証後の画面や内部ネットワークは対象外です。
- 検出＝対処ではない: ツールは発見を支援するだけで、修正は組織側の作業です。対処フローを先に整えないと指摘が溜まり続けます。
- 機密情報の扱い: 診断結果には攻撃に直結する情報（脆弱な資産の一覧）が含まれます。閲覧権限を最小限にしてください。
- 販売形態: 提供元の直販のほか、パートナー企業経由での取扱いやアドバイザリー（対処方法・トリアージの支援）が組み合わされる場合があります。
まとめ
- GMO ASMは、外部公開IT資産の棚卸しと脆弱性の継続診断を行うASMツールである
- 価値は「知らなかった資産を見つけること」と「定期的に繰り返すこと」にある
- 成果を出すには、検出結果を優先順位付けし、オーナーに割り当てて対処する運用が不可欠