EASMとは何か、そして利用開始方法
External Attack Surface Management（EASM） は、組織の外部インフラストラクチャを継続的に検出・監視するためのプラットフォーム機能です。実際には、常時稼働するスキャナーとして機能し、組織に属するインターネット上で到達可能なすべての資産（サブドメイン、IPアドレス、開放ポート、稼働中のサービス、デジタル証明書、脆弱性など）をマッピングし、最もリスクの高い項目を可視化します。
EASMと一時的なセキュリティ評価との主な違いは、EASMが継続的に実行される点です。攻撃対象領域（アタックサーフェス）は日々変化します。新しいサブドメインが作成され、サービスが公開され、証明書は期限切れになります。EASMはこれらの変化を自動的に追跡し、チームが優先順位を付けて対応できる実行可能なエクスポージャーとして提示します。
EASMは、組織がインターネット上に公開している資産（現在積極的に管理されていない資産を含む）を完全に可視化する必要があるセキュリティチームおよびインフラストラクチャチーム向けに設計されています。
最初のステップ：Seedを追加する
検出プロセスを開始する前に、EASMには開始地点が必要です。この開始地点をSeedと呼びます。Seedとは、組織に属するドメインまたはIPアドレスのことです。1つのSeedから、EASMは関連するサブドメイン、IPアドレス、デジタル証明書、および公開されているサービスを自動的に検出します。
少なくとも1つのSeedが登録されていない場合、Assetsビューにはデータが表示されず、検出を実行することはできません。Seedを追加するには、以下へ移動します。
次に、+ Add Seed をクリックし、1つ以上のドメイン、IPv4、IPv6、CIDR（/16～/32）、またはIPレンジを入力します。複数のSeedを一度に追加する場合は、セミコロン（;）で区切って入力してください。Seedは自動的にSafelistへ追加されます。
📝 後でSeedのグループを識別しやすくするために、任意で説明（Description）を追加することもできます。
Seedとは何か、そして重要な理由
Seedとは、検出プロセスの開始地点です。組織が所有するプライマリドメイン（example.com）、IPアドレス、またはCIDRレンジを指定できます。そこからEASMは検出範囲を拡張し、WHOIS情報を利用して関連するサブドメインを見つけ、それらに関連付けられたIPアドレスを特定し、稼働中のサービスや公開されているポート、証明書を列挙します。
Seedリストの品質は、攻撃対象領域マップのカバー範囲に直接影響します。example.comのような1つのドメインからでも、数百の資産が検出される場合があります。事業部門、子会社、IPレンジごとに複数のSeedを追加することで、より包括的な可視化が可能になります。
Related Discovery：EASMがSeedからどのように検出範囲を拡張するか
Seedを追加すると、EASMはWHOISの所有者情報を利用して、そのSeedに関連する他の資産を検索します。具体的には、同じ組織名義で登録されているドメインやIPアドレスを検出します。この仕組みをRelated Discoveryと呼びます。
新たに検出された関連資産ごとに、その取り扱い方法を選択できます。
Whois Owner — 同じ登録組織に属する資産を監視対象候補として提案します。
Add as pending — 新しく検出された資産は、監視対象へ追加する前に手動で確認する必要があります。
Auto-approve — 新しく検出された資産を手動確認なしで自動的に承認し、監視対象へ追加します。
📝 EASMが検出した内容を監視対象へ追加する前に確認したい場合は、まずAdd as pendingを使用してください。特定のSeedに対する検出範囲を信頼できるようになったら、Auto-approveへ切り替えることをおすすめします。
Monitoring setup：EASMが監視する内容を設定する
Seedを追加する際には、EASMで監視するインフラストラクチャの項目も設定します。この設定は、Add Seed画面内のMonitoring Setupセクションで行います。
主な監視カテゴリは**External Attack Surface Management（EASM）**で、指定したドメインに対するインフラストラクチャの露出監視を制御します。このカテゴリでは、以下の機能を有効にできます。
Infrastructure Exposure Monitoring — 指定したドメインに関する露出を検出します。サブドメイン、関連IPアドレス、デジタル証明書、稼働中のサービス、および関連する脆弱性が含まれます。
Inferred CVEs — 観測されたシグナルや相関関係に基づいて推測されたCVEを含めます。
Port Alerting Scope — 開放ポートに関するどのイベントでアラートを生成するかを設定します。
DNS Hygiene — DNS設定の不備を監視します。
Expiring Domain Configuration — 有効期限が近づいているドメインに対してアラートを生成します。
Expiring Certificate Configuration — 有効期限が近づいているTLS証明書に対してアラートを生成します。
📝 ご利用環境に必要な項目のみ有効にしてください。有効にした各項目はEASMが監視する問題カテゴリとなり、問題が検出されると、自動的にチーム対応用のチケットとしてエクスポージャーが作成されます。
監視頻度
EASMは、それぞれ独立したスケジュールで2つの自動プロセスを実行します。
Asset Discovery — Seedをスキャンし、新しい資産（サブドメイン、IPアドレス、サービス）を検出します。各実行後、数時間以内に結果が反映されます。
Exposure Monitoring — すでに検出済みの資産をスキャンし、脆弱性やエクスポージャーを検出します。このサイクルは24時間ごとに実行されます。
つまり、新しいSeedを追加すると、数時間以内にAssetsビューへ検出された資産が表示されるようになります。その後、それらの資産に対する新しいエクスポージャーは、次回の監視サイクルで評価されます。
📝 Assetsビュー右上にあるDiscover NowおよびScan Nowボタンを使用すると、これら2つのプロセスをいつでも手動で実行することもできます。
Assetsビューの理解
Seedが登録され、検出プロセスが開始されると、Assetsビューは組織の外部インフラストラクチャを把握するための主要な画面になります。以下からアクセスできます。
Assetsビューに表示される内容
Assetsビューの上部には、5つのサマリーカウンターが表示されます。
Seeds — 検出の開始点として登録したルートドメインまたはIPアドレス。
Hosts — Seedから検出されたサブドメインおよびホスト名。
Subdomains — 検出プロセスで識別されたサブドメイン。
IPs — インフラストラクチャに関連付けられたIPアドレス。
Vulnerabilities — すべての資産で検出された脆弱性の総数。
これらのカウンターの下には、検出されたすべての資産を一覧表示するデータテーブルがあります。主な項目は、資産名、IPアドレス、最高リスクスコア、タイプ（A、AAAA、CNAMEなど）、エクスポージャー数、タグ、検出元のSeed、監視ステータス、追加日、最終スキャン日時です。
資産のリスクスコア
テーブル内の各資産には、Highest Risk Scoreバッジが表示されます。このスコアは、その資産で検出された脆弱性に基づいて算出されます。関連付けられたすべてのCVEの中で最も高いCVSSスコアが、その資産のリスクスコアとなります。資産に関連するCVEが存在しない場合、リスクスコアは表示されません。
バッジの色は優先度を示します。
赤 — Critical（9.0–10.0）
オレンジ — High（7.0–8.9）
黄 — Medium（4.0–6.9）
グレー — Lowまたはスコアなし
リスクスコア列を利用して資産を並べ替え、最もリスクの高い資産から優先的に対応してください。
資産テーブルのフィルタリング
Assetsビューには、攻撃対象領域の特定の資産に絞り込むための複数のフィルターがあります。
Search — 資産名またはホスト名によるフリーテキスト検索。
First seen at — 資産が最初に検出された日時でフィルタリング。
Business impact — 資産のビジネス上の重要度でフィルタリング。
Status — Online、Offline、その他の監視状態でフィルタリング。
Open ports — 検出された開放ポート番号で資産をフィルタリング。
Cloud — 資産に関連付けられたクラウドプロバイダーでフィルタリング。
Technologies — 資産上で検出された技術でフィルタリング。
Tags — 資産に適用されたカスタムタグでフィルタリング。
DNS type — DNSレコードタイプ（A、AAAA、CNAMEなど）でフィルタリング。
📝 Reset filters を使用すると、すべてのフィルターを解除して完全な資産一覧に戻ることができます。
Asset Managementボタン
Assetsビュー右上のAsset Managementボタンは、Monitoring Settingsへのショートカットです。このボタンから、新しいSeedの追加、既存Seedの編集、監視設定の変更を、EASMの画面を離れることなく実行できます。
Discover Now と Scan Now
Assetsビューの右上には、2つのアクションボタンがあります。
Discover Now — Seedを基に新しい検出処理を実行し、新しく作成または変更された資産を検出します。
Scan Now — すでに検出済みの資産に対して、新しい脆弱性およびエクスポージャースキャンを実行します。
これらのボタンの横には、最後に完全な検出が実行された日時が表示され、データが最後に更新されたタイミングを確認できます。
Exposuresビューの理解
Exposuresは、資産上で検出された問題です。Assetsビューがインフラストラクチャの一覧を表示するのに対し、Exposuresビューは問題への対応を行う場所です。以下からアクセスできます。
エクスポージャーとは
エクスポージャーとは、特定の資産上で検出された問題のことです。脆弱性（CVE）、公開されるべきではない開放ポート、有効期限が近い証明書、DNS設定の不備、またはMonitoring Setupで定義されたその他の問題が含まれます。
各エクスポージャーには、技術的な説明、ビジネスへの影響レベル、および検出箇所を示す具体的な証拠が含まれます。
Risk Matrix
Risk Matrixは、Exposuresビューで最も重要な優先順位付けツールです。エクスポージャーを2つの軸で分類します。
Business Impact（縦軸） — 対象資産がビジネスにとってどれほど重要か：Low、Medium、High、Critical
Exploit Feasibility（横軸） — 攻撃者がその問題をどれだけ容易に悪用できるか：Difficult、Moderate、Easy、Trivial
マトリクスの各セルには、その組み合わせに該当するエクスポージャー数が表示されます。セルは色分けされており、赤色のセルは悪用しやすく、かつビジネスへの影響が大きいエクスポージャーを示します。これらを最優先で対応してください。
Risk Matrixはインタラクティブです。任意のセルをクリックすると、そのリスク組み合わせに該当するエクスポージャーだけが表示されます。まず赤色のセルから対応することを推奨します。これらは最も重大で、最も悪用されやすい問題です。
📝 右上のセル（Critical × Easy）から対応を開始してください。これらは悪用されやすく、かつ最も重要な資産に影響するエクスポージャーです。
新しいエクスポージャーの推移
Exposuresビューには、新しいエクスポージャーの推移を示すグラフも表示されます。また、今週検出された新規エクスポージャー数も確認できます。
これにより、攻撃対象領域が拡大しているか、縮小しているか、あるいは安定しているかを把握でき、最近のインフラ変更によって新たなリスクが発生したかどうかを確認できます。
Assigned to me
Assigned to meカウンターには、自分に割り当てられているエクスポージャー数が表示されます。対象となる重大度はCritical、High、Medium、Low、およびAwaitingです。
このカウンターを利用することで、テーブル全体をフィルタリングすることなく、自分の作業対象をすばやく確認できます。
エクスポージャーのフィルタリング
エクスポージャーテーブルは以下の条件でフィルタリングできます。
Search — エクスポージャー名によるフリーテキスト検索。
First seen at — 最初に検出された日時でフィルタリング。
Hostnames — 検出されたホスト名でフィルタリング。
IP addresses — 関連するIPアドレスでフィルタリング。
Type — エクスポージャーのカテゴリ（Vulnerabilities、DNS Hygiene、Certificatesなど）でフィルタリング。
Risk score — CVSSの重大度範囲でフィルタリング。
Feasibility — 悪用容易性（Low、Medium、High、Critical）でフィルタリング。
Assign status — 割り当て状況でフィルタリング。
Assigned to — 対応担当者でフィルタリング。
Tags — エクスポージャーに付与されたタグでフィルタリング。
Business impact — 対象資産のビジネス上の重要度でフィルタリング。
各エクスポージャーに表示される情報
各エクスポージャーには、以下の情報が表示されます。
Name — CVE識別子、設定不備の名称、または問題の種類。
Assets — 問題が検出された資産（複数ある場合は件数も表示）。
Risk score — 関連するCVSSの最高スコア。
Business impact — 対象資産の重要度。
Exploit Feasibility — 悪用のしやすさ。
Status — 現在の対応状況。
Type — エクスポージャーのカテゴリ（Vulnerabilities、DNS Hygieneなど）。
Age — エクスポージャーが未解決のまま経過した期間。
Assigned to — 対応担当者。
Tags — フィルタリングおよび整理用のタグ。
First seen / Last seen — 最初に検出された日時と、最後に確認された日時。
EASMのリスク評価方法
EASMは、以下の2つの主要な要素に基づくリスクマトリクスを用いて検出結果を優先順位付けします。
Business Impact: 資産が組織にとってどれほど重要か。
Exploit Feasibility: 攻撃者がその問題をどれだけ容易に悪用できるか。
この2つを組み合わせることで、ビジネスへの影響が大きく、実際の攻撃で悪用される可能性が高いエクスポージャーから優先的に対応できます。
分類基準
Exploit Feasibility
Difficult: 0–39
Moderate: 40–69
Easy: 70–89
Trivial: 90–100
Business Impact
Low: 0–39
Medium: 40–69
High: 70–89
Critical: 90–100
CVSS重大度の基準
Low: 0.0–3.9
Medium: 4.0–6.9
High: 7.0–8.9
Critical: 9.0–10.0
このモデルは、脆弱性の重大度だけでなく、CVSS、EPSS、公開されている既知のエクスプロイトに加え、命名パターン、本番環境としての重要性、ブランドとの類似性、DNSトラフィック指標などの資産コンテキストも考慮し、より実用的な優先順位付けを実現します。
その結果、お客様はより実践的なリスクビューを得ることができ、最も緊急に対応すべきエクスポージャーを特定できます。
新しいエクスポージャーの通知設定
デフォルトでは、エクスポージャーに関する通知は無効になっています。アラートを受信するには、通知設定で手動で有効にする必要があります。
通知設定では、Exposure alertsのトグルを有効または無効にできます。このトグルは、エクスポージャーに関連するすべてのメール通知を制御します。有効にすると、以下の通知を受け取ることができます。
監視対象資産で新たに検出されたHighまたはCriticalの検出結果。
既存の資産でリスクスコアがHighまたはCriticalに上昇した場合。
自分に割り当てられたエクスポージャー。
📝 この初期リリースでは、通知タイプとして利用できるのはExposure alertsのみです。今後、より詳細な通知設定が追加される予定です。
用語集
用語 | 定義 |
Seed | EASMの検出を開始するための起点として登録するドメインまたはIPアドレス。EASMはSeedを起点として関連するインフラストラクチャを検出します。 |
Asset | Seedから検出されたホスト、サブドメイン、IPアドレス、またはネットワークレンジ。これらは監視対象の攻撃対象領域の一部となります。 |
Exposure | 資産上で検出された問題。脆弱性、設定ミス、有効期限が近い証明書、またはMonitoring Setupで有効化されたその他の問題カテゴリが含まれます。 |
Risk Score | 資産またはエクスポージャーに関連付けられたすべてのCVEの中で最も高いCVSSスコア。対応の優先順位付けに使用されます。 |
Exploit Feasibility | 特定のエクスポージャーが攻撃者によって悪用される可能性の高さ。Low、Medium、High、Criticalに分類されます。 |
Business Impact | 対象資産が組織にとってどれほど重要かを示します。Risk MatrixではExploit Feasibilityと組み合わせて使用されます。 |
Risk Matrix | Business ImpactとExploit Feasibilityを組み合わせた4×4のマトリクス。インタラクティブで、任意のセルをクリックすると該当するエクスポージャーのみが表示されます。 |
Discovery | WHOIS、DNS、およびその他のシグナルを利用して、Seedに関連する資産を自動的に検出するプロセス。 |
Related Discovery | 登録者情報を基に、Seedと同じ組織が所有する資産を検出する仕組み。 |
CVE | Common Vulnerabilities and Exposures。既知のセキュリティ脆弱性を識別するための標準化された識別子。 |
CVSS | Common Vulnerability Scoring System。脆弱性の技術的な深刻度を0～10で評価するスコアリングシステム。 |
Infrastructure Exposure Monitoring | EASMの主要な監視機能。Seedに関連するサブドメイン、IPアドレス、証明書、サービス、および脆弱性を検出します。 |
クイックスタートチェックリスト
以下の手順に従って、EASMの監視をゼロから完全に有効な状態まで設定します。
ステップ1 — Monitoring Settings → Asset Management → Infrastructure に移動し、+ Add Seed をクリックします。
ステップ2 — プライマリドメイン（例：
example.com）を入力し、Save Seed をクリックします。ステップ3 — Related Discovery を設定し、新しい資産を監視対象に追加する前に確認できるよう Add as pending を選択します。
Add as pending を選択した場合は、Monitoring Settings → Asset Management → Infrastructure に戻り、検出された資産を確認して手動で監視を有効にしてください。
ステップ4 — Monitoring Setup セクションで Infrastructure Exposure Monitoring を有効にします。
ステップ5 — 初回の検出が完了するまで待ちます（小規模環境では数分、大規模環境ではさらに時間がかかる場合があります）。
ステップ6 — Infrastructure Exposure → Assets に移動し、検出された資産とそのリスクスコアを確認します。
ステップ7 — Exposures タブを開き、Risk Matrix を表示します。赤いセルから対応を開始してください。
ステップ8 — User Preferences でメール通知を有効にし、新しいエクスポージャーを自動的に受信できるようにします。
📝 Seedはいつでも追加できます。新しいSeedを追加するたびに、攻撃対象領域のカバー範囲が広がります。
ご不明な点がございましたら、お気軽に [email protected] までお問い合わせください。😊