ASM（Attack Surface Management）の語源と定義を、EASMとの違いから整理する

先に結論: ASMとEASMは何が違うのか

Attack Surfaceは、単なるIT資産一覧でも脆弱性一覧でもありません。対象とするシステムや環境の境界にあり、攻撃者が侵入、影響の付与、データ取得などを試みる際に利用できる接点や経路の集合です。

ASM（Attack Surface Management）は、そのAttack Surfaceを継続的に発見し、所有者や用途を確認し、リスクを評価して対応へつなげる管理活動です。EASM（External Attack Surface Management）は、そのうちインターネットから観測・到達可能な外部範囲を扱います。

ASMの全体範囲に、インターネットから観測できるEASMの範囲、内部ネットワーク、ID・権限、物理インターフェースが含まれることを示した図

この包含関係は、NISTやISOが定めた公式な製品分類ではありません。現在の研究・標準・製品説明を読み比べるための概念整理です。実際には、製品やガイダンスによってASMをEASMとほぼ同じ意味で使う場合もあります。

用語を読むときは、最初に次の3点を確認すると混乱しにくくなります。

何を対象にしているか。ソフトウェア、システム、環境、組織のどれか
境界をどこに置いているか。インターネット境界だけか、内部や物理面も含むか
Managementに何を含めるか。発見と評価までか、修正・追跡までか

「Attack Surface」はどこから来たのか

サイバーセキュリティの概念としての直接的な起点は、Michael Howardが2003年に示したソフトウェアのAttack Surfaceと整理されています。2018年の体系的文献レビューも、Howardがこの概念を導入したと位置づけています。

同レビューは、attack surfaceという英語表現自体について、1972年の掘削工具の特許に物理的な作用面を指す用例があったとも報告しています。ただし、Howardがその用例を参照したという話ではありません。同じ表現が別分野で使われていたことと、サイバーセキュリティ上の概念の系譜は分けて考える必要があります。

1972年の別分野での用例と、2003年のソフトウェア、形式化、NIST・ISO、現在のASM・EASMへ続く概念の変遷を分けて示した図

Howardは2004年の記事で、アプリケーションのAttack Surfaceをcode, interfaces, services, protocols, and practicesの集合として説明しました。重視していたのは、インターネット上の資産を探すことではなく、未信頼の利用者に露出するコードや機能を減らすことです。Microsoftのアーカイブ記事では、次の3つがAttack Surface Reductionの原則として示されています。

デフォルトで実行されるコードを減らす
未信頼の利用者から到達可能なコードを減らす
悪用された場合の被害を制限する

なお、Attack Surfaceには現在も単一の定義があるわけではありません。前述のレビューでは、調査した644件の文献のうち71%が定義や参照元を示さずにこの語を使い、定義を6つの系統に分類できたと報告しています。「正しい定義を一つ選ぶ」より、資料が何を対象にしているかを確認する方が実用的です。

定義が揺れるのは、分析する粒度が違うから

Attack Surfaceは、ソフトウェア内部のAPIから、組織全体のドメインやクラウド資源まで、異なる粒度で使われます。

組織、環境、システム、ソフトウェアという分析粒度と、各粒度で対象・境界・攻撃者を確認する必要があることを示した図

例えば、次の2つはどちらも成り立ちます。

Webサーバーは、組織のAttack Surfaceを構成する資産の一つです。

Webサーバーの公開ポート、API、認証機能、サービス権限が、システムのAttack Surfaceを構成します。

前者はASMで資産を発見・管理する粒度です。後者はソフトウェアやシステムを設計・分析する粒度です。資産自体と、その資産上の接点を同じ言葉で扱う資料があるため、Attack Surface = 資産一覧と短絡すると定義が噛み合わなくなります。

資料・用法	主な粒度	Attack Surfaceとして扱うもの
Michael Howard	アプリケーション、OS	コード、インターフェース、サービス、プロトコル、実践
Howard・Pincus・Wing	類似システムの比較	攻撃対象、通信経路、プロトコル、アクセス権限
Manadhata・Wingら	ソフトウェアシステムと環境	Entry / Exit Point、Channel、Untrusted Data
NIST	システム、要素、環境	境界上の点、内部横展開で到達できる箇所など
ISO/IEC 15408-1	評価対象	論理的・物理的インターフェース
現在のASM / EASM	組織のIT環境	ドメイン、IP、クラウド資源、アプリ、第三者接続など

古典的モデルからNIST・ISOまで

Attack Surfaceの定義は、初期の経験的な列挙から、比較モデル、形式モデル、標準上の境界・インターフェースへと広がりました。

相対比較としてのAttack Surface

Howard・Pincus・WingのMeasuring Relative Attack Surfacesは、Attack Surfaceを似たシステムやバージョン間で比較する考え方として扱いました。観点は、攻撃対象と攻撃を支援する資源、通信経路とプロトコル、アクセス権限です。

ここで重要なのは、Attack Surfaceの大きさがシステムの安全性を絶対評価する値ではないことです。同じ環境、攻撃者モデル、評価軸のもとで比較するから意味を持ちます。

`<M, C, I>`による形式化

Manadhata・Kaynar・Wingは、A Formal Model for a System's Attack SurfaceでAttack Surfaceを次の三つ組として定義しました。

Attack Surface = <M, C, I>

Methods、Channels、Untrusted Dataからなる形式モデルと、NISTが扱う外部・内部・人・プロセス、ISOが扱う論理・物理インターフェースを並べた図

このモデルでは、Attack Surfaceは対象システムだけで決まりません。同じアプリケーションでも、インターネット公開、VPN限定、社内LAN限定、localhost限定では、環境との関係が変わるためAttack Surfaceも変わります。

また、同論文はAttack Surfaceの測定値がコード品質や脆弱性数を表すものではないと明記しています。大きなAttack Surfaceが、直ちに多くの脆弱性を意味するわけではありません。

NISTは内部の到達可能性も扱う

NIST CSRC Glossaryは、Attack Surfaceをシステム、システム要素、環境の境界上にあり、攻撃者が侵入、影響の付与、データ取得を試みられる点の集合と定義しています。

NIST SP 800-160 Vol. 2 Rev. 1では、外部公開部分だけでなく、侵入後の横展開で到達可能な内部Exposure、開発・運用・保守環境、サプライチェーン、人やプロセスにも分析範囲を広げています。したがって、NISTのAttack Surfaceをインターネット向け資産だけに限定するのは正確ではありません。

ISOは論理面と物理面を含める

ISO/IEC 15408-1:2026はAttack Surfaceを、対象とその機能へのアクセスを試みられる点からなる、論理的または物理的インターフェースの集合と定義しています。決済端末の筐体を物理的Attack Surface、ネットワーク機器の通信プロトコルを論理的Attack Surfaceの例に挙げています。

対象	論理的Attack Surface	物理的Attack Surface
Webサービス	API、ログイン、アップロード機能	運用端末、保守媒体
ネットワーク機器	管理画面、通信プロトコル	コンソール、筐体、保守ポート
決済端末	認証処理、更新機能	筐体、USB、カード読取部
産業制御装置	制御プロトコル、遠隔管理	シリアルポート、更新媒体

Asset、Vector、Vulnerability、Exposureを分ける

Attack Surfaceの説明が曖昧になる原因の一つは、関連用語が同じ意味で使われることです。役割を分けると、次のように整理できます。

価値のあるAssetを中心に、利用できる接点であるAttack Surface、攻撃の経路であるAttack Vector、弱点であるVulnerability、リスクにさらされた状態であるExposureを分けた図

この図は概念上の関係であり、NISTやISOの公式な分類図ではありません。特にExposureは資料によって用法が異なります。

Asset

NISTのAsset定義では、Assetは利害関係者にとって価値を持つものです。ハードウェアやソフトウェアだけでなく、データ、人、機能、サービス、評判なども含み得ます。

Attack Vector

Attack Vectorは、攻撃に使われる具体的な経路や手段です。例えば、公開VPNエンドポイントはAttack Surfaceの一部です。そのVPN装置の脆弱性を悪用して侵入することがAttack Vectorになります。

ただし、2003年のHowardらの論文では、オープンソケットや有効なゲストアカウント自体をattack vectorsと呼んでいます。歴史的資料では、現在の用語区分と異なることがあります。

Vulnerability

NISTのVulnerability定義では、脅威源によって悪用または誘発され得るシステム、手続、内部統制、実装上の弱点です。

適切に認証され、既知の脆弱性が見つかっていない公開APIにもAttack Surfaceはあります。反対に、脆弱なライブラリが存在しても、実行されず、想定する攻撃者から到達できなければ、その攻撃経路では悪用できない場合があります。

Exposure

NIST GlossaryはExposureを、組織や利害関係者がリスクの影響を受ける程度などと定義しています。一方、ASM製品では、インターネット公開、設定不備、過剰権限、意図しない到達可能性など、攻撃可能性につながる状態を広くExposureと呼ぶことがあります。

用語の名前だけで同一視せず、その資料内で何を数え、何を減らそうとしているかを確認する必要があります。

ASMは何を「管理」するのか

ASMは、スキャン結果を一度作って終わる活動ではありません。資産や構成が変化する前提で、発見から再確認までを繰り返します。

発見、帰属確認、情報収集、リスク評価、優先順位、対応、再確認を循環させ、所有者・開発・運用と連携するASMの管理サイクル

ISOG-J / OWASP Japanのガイダンスは、ASMのプロセスをIT資産の発見、情報収集とリスク評価、リスクへの対応として整理しています。所有者の確認、誤検知の除外、対応優先度、修正依頼、期限や進捗の追跡まで考えると、単なる外部スキャンではなく管理プロセスになります。

ただし、修正作業そのものをASMの範囲に含めるかは統一されていません。

資料・サービス	発見	評価・優先順位付け	修正・対応の扱い
Microsoft Security Exposure Management	含む	含む	組織内外のAttack Surfaceを分析し、改善へつなげる
Google Cloud Mandiant ASM	含む	含む	SIEM、SOAR、ServiceNowなどへ連携する
経済産業省 ASM導入ガイダンス	含む	含む	ガイダンス上のASM範囲からは分け、後続管理へつなぐ
ISOG-J / OWASP Japan	含む	含む	修正依頼、期限、対応状況の追跡まで扱う

発見と評価は共通しています。どのチームが修正するか、ASM側がどこまで追跡するかは、導入前に決める必要があります。

EASMで見えるもの、見えないもの

EASMは、外部から組織を見たときに、把握できていなかった資産や意図しない公開状態を見つけることに強みがあります。Microsoft Defender EASMは、既知の資産を起点に関連するドメイン、IPアドレスブロック、ホスト、ASNなどを再帰的に発見し、外部のオンラインインフラを継続的に地図化すると説明しています。

Google CloudもEASMを、インターネット向け資産とクラウド資源を自動・継続的に発見し、技術的関係、脆弱性、設定不備、Exposureを評価するものと定義しています。

EASMから見えるドメイン・IP・Web・API・VPN・公開クラウドと、EASMだけでは見えにくい内部ネットワーク・端末・ID・権限・横展開・物理面を対比した図

経済産業省のASM導入ガイダンスは、ASMを「組織の外部（インターネット）からアクセス可能なIT資産」の継続的な発見・評価として定義しています。内容としてはEASMの範囲です。ISOG-Jのガイダンスも、経済産業省の文書がEASMに注目していると説明しています。

この用法は誤りというより、ガイダンスが扱う対象を外部資産へ限定したものです。ただし、NISTやISOの広いAttack Surface定義と同じ範囲だと解釈すると、内部API、権限関係、横展開経路、物理インターフェースなどが抜け落ちます。

EASMを導入したときに言えるのは、主に次の範囲です。

インターネットから観測・到達可能な外部資産と、そのリスクを継続的に発見・評価している。

EASM単独で、組織内外のすべての資産、権限、Attack Surface、攻撃経路を網羅しているとは通常いえません。IT資産管理、脆弱性管理、クラウドやIDの内部情報と組み合わせて補う必要があります。

まとめ: 定義より先に、対象・境界・攻撃者を置く

Attack Surfaceという言葉は、ソフトウェアの露出機能から組織の外部資産まで、複数の粒度で使われています。だからこそ、用語だけを見て同じ範囲だと判断しないことが重要です。

Attack SurfaceやASMの定義を比較する前に、対象、境界、攻撃者、対応の管理範囲を確認する4つの問い

Attack Surfaceは、対象への攻撃に利用できる接点・経路であり、資産一覧や脆弱性一覧そのものではありません
ASMは、Attack Surfaceの発見、分類、評価、優先順位付け、対応連携、再確認を継続する活動です
EASMは、インターネットから観測・到達可能な外部範囲へ対象を絞ります
NISTの定義は内部の到達可能性も扱い、ISOは論理的・物理的インターフェースを含めます
Managementに修正そのものを含めるかは資料によって異なります

資料や製品説明でAttack SurfaceやASMという言葉を見たら、「対象は何か」「境界はどこか」「想定する攻撃者は誰か」「対応をどこまで管理するか」を先に確認します。その4点が揃えば、異なる定義を無理に一つへ統一しなくても、実務上の比較ができるようになります。