攻撃対象領域分析
Attack Surface Analysis
攻撃者が外部から見る自社の姿を、根拠のある資産の一覧として整理します。
ドメインとIPアドレス、外部に公開されたサーバー・サービス・管理画面を外部から見つけ、その履歴と変化もあわせて確認します。見つけた資産ごとにお客様の所有である根拠を確かめ、所有者が確認できていない資産は分けて示し、担当者が確認できるようにします。
外部に公開されている自社の資産は何で、その中に把握していないものはないか？
外部から確認した資産を根拠とともに整理し、所有の追加確認が必要な資産と、先に措置すべき順序を示します。
確認済み
このような状況に適しています
- 把握していない資産が心配なとき
知らないうちに公開されているドメインやサーバーがないかを探し、攻撃者が外部から見る自社の姿を一度整理しておきたい場合です。
- 組織やシステムが大きく変わったとき
合併・買収、クラウドへの移行、サービスの刷新や終了の後に、管理一覧と実際に外部へ公開されている資産が一致しているかを確かめたい場合です。
- 多くの部署や委託先が資産を公開するとき
キャンペーンサイトやテストサーバーなど、多くの部署や外部の委託先がつくった資産が増え、誰が管理しているか分からない資産を見つけておきたい場合です。
- 診断の範囲を決める前に
脆弱性診断やペネトレーションテストを依頼する前に、外部から見える資産を先に整理し、診断対象の漏れをなくしたい場合です。
確認する範囲
外部から見える資産を対象とし、見つけた資産ごとに、お客様の所有かどうかとその根拠もあわせて確認します。
名前とアドレス
- ドメインとサブドメイン
- IPアドレスとアドレス帯
- 証明書に記載された名前
- クラウドサービスにつながるアドレス
外部に公開されているもの
- Webサイトとサービス
- ログイン画面・管理画面
- リモート接続の窓口
- 外部に公開されたAPIとファイル保存領域
所有と変化
- 所有者が確認できていない資産
- 管理一覧にない資産
- 使われなくなった後も公開されたままの資産
- 新たに現れた・消えた資産とその履歴
キャンペーン終了後も公開されたままのイベントサイト、外部の委託先がつくって引き継がれていないテストサーバー、以前のドメインに残っている管理画面などです。
進め方
対象の合意
組織・ブランド名、把握しているドメインとIPアドレス、グループ会社を範囲に含めるか、評価の期間やモニタリングの周期を決めます。
収集と関連付け
外部観測情報を集めて関係と履歴に沿って結びつけ、お客様の資産である可能性がある候補を絞り込みます。
所有の確認
専門家が候補ごとにお客様の所有である根拠を検討し、確認された資産、所有の追加確認が必要な資産、お客様の資産ではないものに分けます。
結果の説明
資産の一覧と根拠、想定される影響に基づく措置の優先順位を説明し、担当者が確認する項目をお渡しします。
一度整理する評価として進めるほか、新しいドメインやサービスを頻繁に公開する場合は、合意した周期のモニタリングで変化を確認します。 三つの進め方を見る
お客様に残る成果
確認した資産と根拠
外部から確認した資産ごとに、お客様の所有である根拠と最初に見えた時点、変化した点を整理します。
所有の追加確認が必要な資産
お客様の資産に見えるものの根拠が足りない資産を分けてまとめ、担当者が確認できるようにします。
措置の優先順位
想定される影響を基準に、公開の停止や管理一覧への登録が必要な資産のうち、何から行うかを整理します。
次の確認の基準
今回の結果を基準として残し、次の評価やモニタリングで変化を比べられるようにします。
外部から見えることは、確認が必要だという根拠にすぎません。見つけた資産に脆弱性があるか、実際に悪用できるかはこの分析では判断せず、必要な場合は別の診断で確認します。