[新製品・サービス]
IIJ、アタックサーフェス管理「Mandiant ASM」を用いたリスク評価サービスを提供
2023年11月22日(水)日川 佳三（IT Leaders編集部）
インターネットイニシアティブ（IIJ）は2023年11月22日、アタックサーフェス管理（攻撃対象領域管理：ASM）サービス「IIJアタックサーフェスアセスメントソリューション」を提供開始した。外部からアクセス可能なIT資産を攻撃者の視点から特定し、脆弱性などのリスクを評価する。Google Cloud傘下の米マンディアントが開発した「Mandiant Attack Surface Management」を採用している。価格（税別）は従業員数に応じた個別見積もりで300万円から。
インターネットイニシアティブ（IIJ）の「IIJアタックサーフェスアセスメントソリューション」は、アタックサーフェス管理（攻撃対象領域管理：ASM）サービスである。外部からインターネットを介してアクセス可能なIT資産を攻撃者の視点から特定し、脆弱性などのリスクを評価する（図1）。
図1：アタックサーフェスを検出してリスクを評価するスポットサービス「IIJアタックサーフェスアセスメントソリューション」の概要（出典：インターネットイニシアティブ）拡大画像表示
ASMに「Mandiant Attack Surface Management（Mandiant ASM）」を用いる。Mandiant ASMは年間サブスクリプション型サービスだが、IIJのソリューションでは30日間のスポットサービスとして提供。「アタックサーフェス管理を定常的な運用に組み込む前に、まずは現状を把握したい」という要望に応える。
同ソリューションでは、ユーザーのドメイン情報などを元にインターネット経由でIT資産を探索し、IT部門が把握できていないアタックサーフェスを自動で検出。検出したホストの情報を収集し、リスクを可視化する。
特定したリスクは、実際のサイバー攻撃で使われているかなどを脅威インテリジェンス（脅威情報）を参照し、重要度に応じて5段階で評価。膨大な脆弱性情報の中から優先度の高い問題に対処できるようになる。
「リモートワークの普及により、企業と外部の境界点が拡大している。また、事業部門が独自でクラウドサービスを契約するなど、外部に接続したIT資産の全容の把握が困難になっている。一方、攻撃者は企業のIT資産に対する偵察を自動化するなど、より効率的な手法でアタックサーフェスを発見している」（IIJ）。
なお、経済産業省は2023年5月29日に、ASMの基本的な考え方や特徴、要点を整理した「ASM（Attack Surface Management）導入ガイダンス」を公開している。
