EASMとは？外部攻撃対象領域管理の仕組みを解説

EASM（外部攻撃対象領域管理）とは、インターネットから外部にアクセスできる自組織のIT資産を攻撃者と同じ視点で発見し、そこに潜むリスクを継続的に検出・評価する取り組みです。「知らないうちに公開されていたサーバー」「情シスが把握していないWebサイト」といった“管理外の入口”を洗い出すのが最大の狙いです。

クラウドやSaaSの利用、部署ごとの独自サイト構築が当たり前になり、自社の“外から見える面”は年々広がっています。攻撃者はまさにその見落とされた面を突いてきます。本記事では、EASMの定義・仕組み・脆弱性診断との違い・情シスでの使いどころを、実務者目線で整理します。

この記事でわかること

  • EASMの1文定義と、ASM・脆弱性診断との関係
  • EASMがたどる3つのプロセス（発見→情報収集→リスク評価）
  • EASMで“できること・できないこと”（限界）
  • 情シスがEASMを導入・運用する際の実務ポイントと公的指針

EASMとは何か？（1文定義）

EASM（External Attack Surface Management／外部攻撃対象領域管理）とは、外部（インターネット）からアクセス可能な自組織のIT資産を発見し、それらに存在する脆弱性や設定ミスなどのリスクを継続的に検出・評価する一連のプロセスです。調査会社Gartnerは、EASMを「組織が気づいていない、インターネットに面した資産やシステムから生じるリスクの特定を支援する新興の製品群」と説明しています。

ここでいう「アタックサーフェス（攻撃対象領域）」とは、攻撃者が侵入の足がかりにできる“接点の総和”のことです。公開Webサーバー、VPN機器、クラウドストレージ、SaaSのログイン画面、DNSやサブドメイン、漏えいした認証情報などが含まれます。EASMは、この外側の面を「攻撃者の視点」で棚卸しします。

なぜEASMが重要なのか？

答え：情シスが把握していない“管理外の資産”こそ、攻撃の入口になりやすいからです。

経済産業省が2023年5月に公開した「ASM（Attack Surface Management）導入ガイダンス」は、ASM（EASMを含む考え方）の特徴として、情報システム部門が把握していないIT資産や、意図に反して公開状態になっているIT資産を発見できる点を挙げています。具体的な活用シーンとして、次のようなケースが紹介されています。

  • キャンペーンサイトなど、情シス以外の部署が構築・運用したIT資産の発見
  • 設定ミスなどにより、外部からアクセスできてしまっている社内システムの発見
  • グループ企業や海外拠点など、本社で一元管理できていないIT資産の発見

いずれも「台帳に載っていない資産」です。守るべき対象を把握できていなければ、パッチ適用も監視も届きません。EASMは、その“見えていない部分”を可視化する起点になります。

EASMの仕組み：3つのプロセス

EASMはおおむね次の3ステップで回します。ツールによって呼び方は異なりますが、考え方は共通です。

ステップ 内容 例
①発見（Discovery） 組織名・ドメイン・IPレンジなどを起点に、外部公開されている資産を洗い出す サブドメイン、公開サーバー、クラウド上のインスタンス、証明書情報
②情報収集（Information Gathering） 発見した資産の詳細（稼働サービス、ソフト・バージョン、開放ポート、設定状態）を外部から収集 使用中のWebサーバー製品、TLS設定、公開されているログイン画面
③リスク評価（Risk Assessment） 収集情報をもとに、脆弱性・設定ミス・露出の危険度を評価し優先度を付ける 既知脆弱性（CVE）の有無、既定パスワード、機微情報の露出

重要なのは、これらを一度きりではなく継続的に回す点です。資産は日々増減し、新たな脆弱性も毎日公表されます。EASMは「点検」ではなく「常時のモニタリング」として位置づけると効果を発揮します。

ASM・CAASMとの関係は？

答え：ASMは内部・外部を含む上位概念で、EASMはそのうち“外部”に特化した領域です。

ASM（Attack Surface Management）は攻撃対象領域全体を管理する包括的な考え方で、Gartnerはその構成要素としてEASM（外部）、CAASM（サイバー資産の統合可視化）、DRPS（デジタルリスク保護）などを位置づけています。EASMは、その中でも「外からログインや通信ができてしまう面」に焦点を当てたものだと理解すると整理しやすいでしょう。

脆弱性診断やペネトレーションテストとの違いは？

答え：EASMは“何が外から見えているか”を継続的に把握する取り組みで、対象資産を事前に決めて深く検査する脆弱性診断とは目的が異なります。

脆弱性診断やペネトレーションテストは、多くの場合「検査対象を事前に指定して」実施します。一方EASMは、その「検査対象リストに載っていない資産そのものを見つける」のが出発点です。両者は競合ではなく補完関係にあります。EASMで管理外資産を洗い出し、重要なものを脆弱性診断やペネトレーションテストで深掘りする、という流れが実務的です。

診断系の位置づけは、ペネトレーションテストとは？脆弱性診断との違いを解説もあわせてご覧ください。EASMで見つけた資産を継続管理につなげる考え方は、脆弱性管理とは？プロセスと情シスの進め方を解説で補足しています。

EASMでできないこと（限界）

EASMは万能ではありません。過度な期待は運用の失敗につながります。現場で意識したい限界は次のとおりです。

  • 「外から見える面」しか対象にできない：内部ネットワークだけに閉じた資産や、社内端末の詳細は原則見えません。内部側はCAASMや資産管理・脆弱性管理と組み合わせる必要があります。
  • 発見＝即・脆弱性判定ではない：外部からの推定情報には誤検知・過検知が伴います。検出結果は必ず人手で裏取り・優先度付けが要ります。
  • “見つけた後”の運用が本番：資産を洗い出しても、担当・修正・再発防止のプロセスがなければリスクは残ります。ツール導入がゴールではありません。

正直なところ、EASMを入れると「身に覚えのない資産」がずらりと出てきて、最初は棚卸しだけで手一杯になりがちです。限られた人員でどこまで追えるか、優先度の線引きを最初に決めておくことが、形骸化を防ぐ鍵になります。

情シスはEASMをどう扱うべきか

まずは自社の外部資産像を把握することから始めます。ツールの導入検討と並行して、公的な指針を土台にすると判断がぶれません。

EASMは「新しいツールを買う話」ではなく、「自社の外から見える面を、誰がどう管理し続けるか」という運用設計の話だと捉えるのが実務的です。

関連用語

  • アタックサーフェス（攻撃対象領域）：攻撃者が侵入の足がかりにできる接点の総和。
  • ASM：内部・外部を含む攻撃対象領域全体を管理する上位概念。EASMはその外部特化版。
  • シャドーIT：情シスが把握しないまま使われるIT資産・サービス。EASMが発見対象とする典型例。

まとめ

  • EASM（外部攻撃対象領域管理）とは、外部から見える自組織のIT資産を攻撃者目線で発見し、リスクを継続評価する取り組みである。
  • 最大の価値は、情シスが把握していない“管理外の資産”を可視化し、攻撃の入口を減らせる点にある。
  • 発見はゴールではなく起点。脆弱性診断・脆弱性管理と組み合わせ、見つけた後の運用まで設計して初めて効果が出る。

出典

タイトルとURLをコピーしました