ASMとは？種類（単体ツール・基盤の機能・専門家に任せる型）の違いと、価格・探す起点・頻度の選び方

この記事の答え

ASMは、インターネットから届く自社の資産を、攻撃者と同じ外の視点で洗い出して管理する取り組みです。アタックサーフェスマネジメントとも呼びます。自社で回す単体ツール型、セキュリティ基盤の機能型、専門家に任せる型の3つがあり、担当の人数と使っている製品で決めます。公式の製品ページで金額を確かめられたのは2製品です。

ASMとは

ASMは、部門が立てたサイトや公開したままの検証環境など、台帳から漏れた資産を外から探します。見つけた資産の情報を集め、リスクを評価して、直す順番を決めます。経済産業省は2023年5月に「ASM導入ガイダンス」を出しています。

比較ページには、自社で開発・提供する会社と、日本法人のある外資の製品を載せています。

3つの種類

単体ツール型は、自社の担当が画面を見て回します。例はGMOサイバー攻撃ネットde診断 ASM、Securify ASM、AeyeScanのWeb-ASM機能、WideAngle ASMです。
セキュリティ基盤の機能型は、同じ会社の製品と一緒に使います。例はCortex Xpanse、Microsoft Defender EASM、Falcon Exposure Management、CREM、Mandiant Attack Surface Management、FortiRecon、Tenable One Attack Surface Managementです。
専門家に任せる型は、仕分けや調査を頼んで結果を受け取ります。例はNRIセキュアのマネージドASMサービスと、ブロードバンドセキュリティのアタックサーフェス調査です。

脆弱性診断との違い

ASMは、どの資産が外から見えているかを探すところから始めます。
脆弱性診断は、決めた対象の弱点を調べます。
ブロードバンドセキュリティは、目的に応じて使い分けるか併用する形を示しています。

探す起点と頻度

GMOサイバー攻撃ネットde診断 ASMの起点は、社名、IPアドレス、キーワードです。定期診断の周期は週・月・年・日から選びます。
Securify ASMの起点は、ドメイン、IPアドレス、クラウドアカウントです。
Mandiant Attack Surface Managementの頻度は、毎日、毎週、オンデマンドから選びます。
Tenable One Attack Surface Managementは、50億以上の資産のマップから自社に関連するドメインを特定します。

価格

GMOサイバー攻撃ネットde診断 ASMは、自走プランが4万円/月〜、伴走プランが12万円/月〜です。税区分の記載はありません。
WideAngle ASMは、1ドメインあたり月49,500円（税込）で、ASM+情報漏洩プランは月82,500円（税込）⁠で⁠⁠⁠⁠す⁠。
Securify ASMはルートドメインやクラウド連携の数で、Mandiant Attack Surface Managementは従業員数で料金が決まります。数え方が違うので、同じ条件で見積もりを取って比べます。

入れる前に決めておくこと

見つけた資産の持ち主を誰が確かめるかを決めます。
直す担当と期限を決めておきます。見つけるだけでは資産は減りません。
本番環境に通信を送る診断を使うなら、時間帯と連絡先を決めます。