アタックサーフェス（攻撃可能領域）とは？種類や低減させる方法を解説

「アタックサーフェス」をご存知でしょうか？アタックサーフェスとは、サイバー攻撃で狙われるIT資産や行動、ポイントなどのことです。アタックサーフェスを適切に管理しなければ、サイバー攻撃を受けるリスクが向上するため注意が必要です。

本記事では、アタックサーフェスの概要や低減させる方法について詳しく解説します。アタックサーフェスについて知りたい方、サイバー攻撃を受けるリスクを減らしたい方は、ぜひ参考にしてください。

アタックサーフェス（Attack Surface）とは

アタックサーフェス（Attack Surface）とは、サイバー攻撃の対象になる可能性を含んだ全てのIT資産やポイントのことです。具体的には以下が挙げられます。

• ネットワーク
• システム
• アプリケーション
• パソコン
• スマートフォン
• タブレット
• USBメモリー
• 不用意なユーザー行動

近年は、ITツールの導入やDXの推進により、アタックサーフェスに該当するものが増加しており、サイバー攻撃を受けるリスクも増えています。サイバー攻撃を防ぐには、守る必要があるアタックサーフェスの把握が重要です。

ここからは、アタックサーフェスにおける3つの種類とサイバー攻撃を受けやすい企業の特徴について詳しく解説します。

アタックサーフェスの3つの種類

アタックサーフェスは複数存在しますが、大きく以下の3つに分類されます。

• デジタルアタックサーフェス
• 物理的なアタックサーフェス
• ソーシャルエンジニアリングのアタックサーフェス

ここからは、上記3つの種類について順に解説します。

デジタルアタックサーフェス

デジタルアタックサーフェスとは、サイバー攻撃の主なターゲットとなる対象物やポイントのことです。ネットワークに接続されているシステムやデバイスが含まれ、具体的には以下が挙げられます。

• ソフトウェア
• OS
• アプリケーション
• パソコン

とくに、セキュリティ上の欠陥である脆弱性が含まれたものや、メーカーのサポート期間が切れているものは狙われやすいため注意が必要です。

物理的なアタックサーフェス

物理的なアタックサーフェスとは、オフィスやサーバー、デバイスなど全端末のことです。攻撃者は、特定のユーザーのみが利用できる資産や情報を活用して不正アクセスを行い、情報を窃盗します。中には、内部の人間が物理的なアタックサーフェスを狙うケースもあります。物理的なアタックサーフェスを守るには、オフィスの入退室管理や監視体制の整備、従業員教育などが重要です。

ソーシャルエンジニアリングのアタックサーフェス

ソーシャルエンジニアリングのアタックサーフェスとは、人間の心理を操作する手口のことです。具体的にはフィッシング詐欺が該当します。人の行動を巧みに操るため、セキュリティ対策ツールの導入などでは防ぎにくい点が特徴です。ソーシャルエンジニアリングのアタックサーフェスを防ぐには、従業員に定期的な教育を行いセキュリティに関するリテラシーの向上が必要です。

なお、ソーシャルエンジニアリングにおける手口の詳細は、以下をご覧ください。
⇒ソーシャルエンジニアリングとは？手口や被害の事例、対策について解説

サイバー攻撃を受けやすい企業の特徴

サイバー攻撃者は、システムやユーザー行動などにおけるセキュリティ上の欠陥を狙って攻撃を仕掛けています。以下の特徴がある企業は、サイバー攻撃を受けやすくなるでしょう。

• 未更新のソフトウェアがある
• 閉じられていないネットワークポートがある
• 不適切なアクセス権限設定をしている
• 従業員が推測されやすいパスワードを使用している
• パスワードの使い回しを行う従業員がいる

攻撃ベクトルの概要と具体例

アタックサーフェス（攻撃対象領域）と密接な関わりがあり、混同されやすい概念として「攻撃ベクトル」が挙げられます。攻撃ベクトルとは、悪意ある第三者が行う攻撃手法のことです。

攻撃ベクトルでアタックサーフェスが狙われる関係性になっています。
ここからは、具体的な以下の攻撃ベクトルについて解説します。

• フィッシング
• マルウェア
• ランサムウェア
• DDoS攻撃
• 脆弱性の悪用
• 内部要因

フィッシング

フィッシングとは、正規のサービス事業者や関係者を装ったメールを送り、偽サイトなどを活用して個人情報・機密データを入手・不正利用するサイバー攻撃のことです。以前は不特定多数に大量のメールを送る手法が一般的でしたが、近年は特定の企業や組織を狙ったスピアフィッシングも行われています。

フィッシングの詳細は以下をご覧ください。
⇒フィッシング詐欺とは？5つの対策や被害にあった場合の対処法を解説

マルウェア

マルウェアとは、ユーザーに不利益を与えるプログラムやソフトウェアのことです。例えば以下などが存在します。

• ウイルス
• トロイの木馬
• ワーム
• スパムウェア

⇒コンピュータウイルスの恐ろしさとは？ウイルスの種類やセキュリティ対策を解説
⇒【徹底解説】トロイの木馬とは？ウイルスなの？種類・危険性・対策を完全網羅！
⇒スパムとは？意味や迷惑メッセージの種類、危険性、対策を徹底解説！

ランサムウェア

ランサムウェアとは、デバイスやシステムをウイルスなどに感染させロックやデータの暗号化を行い、解除する代わりに金銭を要求するサイバー攻撃のことです。実際に金銭を支払っても解除される保証はなく、追加の金銭を要求されるケースもあります。

ランサムウェアの詳細は以下をご覧ください。
⇒ランサムウェアとは？手口や対策まで詳しく解説

DDoS攻撃

DDoS攻撃とは、多数のデバイスから大量にアクセスして、サーバーに負担をかけ正常な運営を妨害するサイバー攻撃のことです。高度な知識やスキルがなくても実行できるため、攻撃数が増加しています。

DDoS攻撃の詳細は以下をご覧ください。
⇒DDoS攻撃とは？受けた場合の被害や4つの対策をわかりやすく解説

脆弱性の悪用

セキュリティ上の欠陥である脆弱性の悪用も、サイバー攻撃でよく使われる手法です。修正が間に合わない脆弱性や未知の脆弱性を攻撃するゼロデイ攻撃が頻繁に行われています。

内部要因

サイバー攻撃は、外部からのみ仕掛けられるわけではありません。中には、悪意ある従業員が内部から個人情報や機密データを盗んだり、外部の協力者に認証情報などを与えたりする恐れがあります。また、身に覚えのないメールの添付ファイルをダウンロードするなど、従業員の不用意な行動がサイバー攻撃の原因になるケースも存在します。

アタックサーフェスを低減させる方法

アタックサーフェスを低減させる主な方法は、以下の通りです。

• ASMの実施
• 従業員研修・教育の実施
• OSのこまめなアップデート
• 適切なID・権限管理
• ゼロトラストセキュリティの導入
• オープンポートのクローズ
• マイクロセグメンテーションの利用
• システムの整理
• 脆弱性診断の実施と改善

最後に、上記それぞれの対策について解説します。

ASMの実施

アタックサーフェスを減らすにはASMが重要です。ASM（アタックサーフェスマネジメント）とは、攻撃者の視点からサイバー攻撃が行われる可能性を含んだアタックサーフェスを把握して、セキュリティを強化する取り組みや技術のことです。以下のステップで実施します。

1. 悪用されそうなIT資産の特定
2. 特定した資産の情報収集
3. 収集情報に基づくリスクの評価
4. 継続的な管理

上記各ステップにおける取り組みやASMの詳細を知りたい方は、以下をご覧ください。
⇒ASM（アタックサーフェスマネジメント）とは？実施ステップやおすすめツール6選を解説

従業員研修・教育の実施

従業員への研修や教育の実施も欠かせません。ソーシャルエンジニアリングアタックサーフェスも存在し、どんなにセキュリティ対策を施しても、従業員が危険な行動を取ればサイバー攻撃を受ける可能性があります。

従業員研修や教育を行う際には、サイバー攻撃を受けた場合のリスク・被害や原因となる行動、最新のサイバー攻撃手法などを伝えましょう。また、セキュリティポリシーの明確化と浸透も重要です。

OSのこまめなアップデート

OSのこまめなアップデートも、アタックサーフェスの低減に向けたポイントです。アップデートは、機能の追加だけでなく脆弱性をなくす目的でも実施されます。メーカーからの通知を定期的にチェックして、常に最新版のOSを利用するようにしましょう。

適切なID・権限管理

適切なID・権限の管理も、アタックサーフェスの低減に役立ちます。万が一、上位の権限を有するアカウントを乗っ取られれば、サーバー・サービス提供の停止や情報漏洩など、被害が拡大するリスクが高まります。

一方、IDや権限を適切に管理していれば、サイバー攻撃を受けてもシステムへの侵入を防ぎ、被害を最小限にできる可能性が増すでしょう。誰にどのような権限を付与しているか定期的に確認して、不要なものの削除が重要です。

ゼロトラストセキュリティの導入

ゼロトラストとは「信頼しない」ことを前提としたセキュリティの考え方や技術のことです。以前は、内部からのアクセスは安全性が高いと考え、外部からのアクセスに対して制限やセキュリティ対策を行っていました。

ただ、近年はサイバー攻撃の巧妙化や働き方・通信環境の変化により、内部からの通信が必ずしも安全ではなく、外部からも快適にアクセスできる環境構築が求められています。ゼロトラストセキュリティでは、必要性があり許可されたユーザーのみがリソースにアクセスできる仕組みが取られており、アタックサーフェスを減少させます。

なお、ゼロトラストの詳細は以下をご覧ください。
⇒ゼロトラストとは？実現するポイントやゼロトラストが広まった背景も解説！

オープンポートのクローズ

不要なオープンポートがあれば、閉じましょう。ポートとは、インターネット上でデータの送受信を行う通り道のことです。不正アクセスを防ぐ目的でポートフィルタリング機能などを活用して、ポートへの制限をかけることが一般的です。

ただ、外部との通信が必要なプログラムは、ポートを開放しなければ作動できません。オープンポートを必要とするケースもありますが、不要なもの・使用していないものは、サイバー攻撃の原因となるため閉じましょう。

マイクロセグメンテーションの利用

マイクロセグメンテーションとは、内部ネットワークを複数のセグメントに分割して、セグメント間のトラフィックを管理するセキュリティ設計のことです。サーバーにアクセスするたびにエンドポイントやユーザー認証を行い、適切な権限範囲のみのアクセスを許可します。マイクロセグメンテーションの利用により、アクセス範囲などを制限することで、アタックサーフェスを最小化することが可能です。

システムの整理

システムの整理も、アタックサーフェスを低減させる方法として有効です。活用するシステム数に比例して、アタックサーフェスが増加します。また、システム数が増えれば、セキュリティ担当者の負担が増加して管理しきれなくなるため、サイバー攻撃を受けるリスクが向上します。定期的に導入しているシステムを棚卸して、不要なものは解約・削除しましょう。

脆弱性診断の実施と改善

脆弱性診断の実施とアップデートも重要です。攻撃者は、脆弱性を突いてサイバー攻撃を仕掛けます。まずは、自社に狙われるポイントがないか脆弱性診断で確認しましょう。万が一脆弱性が見つかった場合には、アップデートを施します。

脆弱性診断には、専門家が手動で行う方法とツールを活用する方法の大きく2種類が存在します。詳細を知りたい方は、以下をご覧ください。
⇒脆弱性とは？発生原因から被害事例、対処法までわかりやすく解説

まとめ

アタックサーフェスとは、サイバー攻撃の対象になる可能性を含んだ全てのIT資産やポイントのことです。具体的には、ネットワークやデバイス、ユーザーの不用意な行動などが該当します。
アタックサーフェスを低減させサイバー攻撃を受けるリスクを減らすには、ASMの実施やOSのこまめなアップデート、ゼロトラストセキュリティの導入などが重要です。

ただ、近年のサイバー攻撃は高度化・巧妙化しているため、100％防ぐことはできません。万が一、情報漏洩が発生すれば企業の信用やブランドイメージに傷が付くでしょう。情報漏洩を未然に防ぐ対策だけでなく、発生を素早く察知して適切な対応を取るための体制構築が求められます。情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！