NRIセキュアテクノロジーズ（NRIセキュア）は2024年6月10日、ASM（アタックサーフェス管理）サービス「マネージドASMサービス」を提供開始した。企業自身で把握し切れていないものを含め、インターネットに公開しているIT資産を探索して検出し、攻撃者目線でリスクを評価する。検出した脆弱性の通知/レポーティング、推奨対策の助言までを一元的に提供する。
NRIセキュアの「マネージドASMサービス」は、ASM（アタックサーフェス管理）サービスである。企業自身で把握し切れていないものを含め、インターネットに公開しているIT資産を探索して検出し、攻撃者目線でリスクを評価する。検出した脆弱性の通知/レポーティング、推奨対策の助言までを一元的に提供する（図1）。
図1：マネージドASMサービスの概要（出典：NRIセキュアテクノロジーズ）拡大画像表示
「IT資産の増加やクラウドの普及に伴い、攻撃の入口となるインターネット境界の隙・綻び（アタックサーフェス）が拡大している」（同社）ことを受けてサービスを提供する。2023年5月には、経済産業省がASMのガイドライン「ASM導入ガイダンス」を発行している。
マネージドASMサービスでは、第1段階として、外部に公開しているIT資産を把握する。企業名、ドメイン、IPアドレスの情報からツールを使って外部公開資産の全体像を把握し、企業が把握できていないIT資産を極小化する。
第2段階として、発見したIT資産ごとに、外部公開サービスに関するインベントリ情報（利用OS、ソフトウェアのバージョン、公開ポート、利用可能な管理コンソールなど）を収集して可視化し、内在する脆弱性を検出する。
第3段階として、攻撃者の視点で悪用しやすい脆弱性かどうかという視点でリスクを判断する。優先度の高い脆弱性や、攻撃を受けやすい公開サービス、管理コンソールの意図しない公開、各種セキュリティ設定の不備などを可視化する。これらから対策の優先順位づけを支援する。
