Security Center:攻撃対象領域管理の概要

インターネットに公開されているアセットの包括的なインベントリにより、資産の死角を解消

• ビジネス上の課題：急速な事業拡大により、多数のテストおよび開発の残骸、子会社のリソース、または管理されていないクラウドアセットが残り、公開リスクを完全に把握できません。

• ソリューション：攻撃対象領域管理の アセット検出 機能を使用します。システムは、Web Application Firewall (WAF)、Cloud Firewall (CFW)、ドメイン名、証明書、EIP を起点として、関連付け分析を自動かつ継続的に実行し、既知の [クラウド資産] と未知の [シャドー資産] を検出します。

• 中核となる価値：分散して不明だったアセットを統合されたセキュリティビューに取り込み、後続のリスク低減に向けて完全かつ正確な資産インベントリを提供します。

攻撃者視点のシミュレーションにより、重要な攻撃パスを特定してブロック

• ビジネス上の課題：アセットと脆弱性が多数あるため、どのリスクの組み合わせが最大の脅威となり、どれを優先して修復すべきかを判断しにくい状況です。

• ソリューション：攻撃対象領域管理は、アセット間のネットワーク到達可能性、脆弱性、リスクのある設定を分析して潜在的な 攻撃パス を自動的に推定し、開始アセット から エンドアセット までの完全なチェーンをトポロジーグラフで提示します。

• 中核となる価値：攻撃者の視点でセキュリティ防御を検証し、主要な攻撃パスを遮断できる高価値のリスクポイント (重要ノードなど) の修復に集中することで、精度が高く効率的なリスク対応を実現します。

攻撃対象領域を継続的に監視し、縮小

• ビジネス上の課題：新サービスのリリースや設定変更により、新たな露出面が生じる可能性があります。意図せず攻撃対象領域が拡大していないことを、どのように保証しますか。

• ソリューション：定期的なアセットスキャンとリスク評価を通じて、攻撃対象領域の変化を継続的に監視します。資産インベントリを集中的に管理し、シャドーアセットの帰属ステータスを確認して、攻撃対象領域ビューの正確性を確保します。

• 中核となる価値：単発のセキュリティ評価を定常的なリスクガバナンスプロセスへ転換し、ビジネスの変化に動的に適応しながら公開リスクを継続的に低減します。

[資産検出]

アセット検出は、多次元のクラウド製品連携と自動マッピング技術により、資産インベントリ、関連付け分析、リスクの特定、修復の推奨までの完全なクローズドループを構築します。この機能は、企業がアセットのベースラインを明確化し、管理されていない「シャドーアセット」を特定し、攻撃者の視点からインターネットに対する露出を低減できるよう設計されています。

• 自動アセットマッピング

  システムは複数のクラウド製品 API を緊密に統合し、クラウドアセットとそれに関連付けられたインターネットフィンガープリント情報を自動的に同期・集約して、サービスとリソースの正確なマッピングを確立します。

  • 多次元のアセット検出：WAF、CFW、ECS、SLB、EIP、コンテナなどのクラウド製品を基盤に、ドメイン名、IP、SSL 証明書情報と組み合わせ、関連付け分析を通じてポートと Web フィンガープリントを検出します。

    • WAF と CFW：保護対象のドメイン名とパブリック IP アドレスを取得します。

    • ドメイン名 (Alibaba Cloud HiChina)：アカウント配下で登録されたドメイン名を同期します。

    • 証明書 (SSL)：証明書を解析し、強く関連付けられたドメイン名とサブドメインを抽出します。

    • EIP：アカウント配下の EIP の完全なリストを取得し、パブリック IP アセットのベースラインインベントリを形成します。

    • ECS：ECS インスタンスと、それに関連付けられたパブリック IP アドレスを同期します。

    • SLB：SLB リスナー設定 (証明書など) とバックエンドサーバーグループ (ECS インスタンス) を抽出し、サービスとリソースのマッピングを確立します。

  • シャドーアセットの特定：既存のアセット情報を活用して、管理されていない「シャドーアセット」をさらに検出し、パブリック IP アドレスとドメイン名の完全なベースラインインベントリを構築します。

• アセット帰属管理

  ドメイン名、IP アドレス、証明書の 3 つの中核アセットタイプについて、ステータス分類と粒度の細かい管理をサポートし、スキャン対象リソースの正確性とコンプライアンスを確保します。

  重要

  システムは [帰属済み] アセットに対してのみ脆弱性スキャンと攻撃パス分析を実行し、それらを 新しいスキャン開始点 として、関連するシャドーアセットをさらに検出します。

  • [帰属済み]：現在のアカウントに属することが確認されたアセットです。

  • [未確認]：スキャンで検出されたものの、帰属が確認されておらず、処理待ちのシャドーアセットです。

  • [調査レポート]：アセットの帰属を調査中で、ステータスが一時的に不明な状態です。

  • [無視済み]：企業アセットではないことが確認されたアセット、またはスキャン範囲に含める必要がないアセットです。

• 自動スキャンとタスク管理

  さまざまなシナリオにおけるセキュリティ検出ニーズに対応するため、柔軟なスキャン戦略を提供します。

  • スキャンタイプ：

    • ワンクリックスキャン：オンデマンドで実行します。緊急対応や、新サービスのリリース前に包括的なインベントリを作成する場合に適しています。

    • 定期スキャン：アセットの露出を継続的に監視するため、週次/月次などのスケジュールを任意に設定できます。

  • タスク管理：スキャンタスクを設定すると、クラウド アセットのリフレッシュ タスク、クラウドプロダクト分析タスク、Attack Path Analysis を順次実行します。タスク管理モジュールを使用して、スキャン全体の進捗と、サブタスクの実行の詳細およびステータスをリアルタイムで確認できます。

[攻撃の脅威]

• 攻撃リスク分析

  アセットの関連付けと脆弱性インテリジェンスに基づいて、潜在的な侵入チェーンをシミュレーションして推定します。

  • 攻撃パスの推定：ネットワーク到達可能性、システムの脆弱性、弱いパスワード、クラウドセキュリティ態勢 (CSPM)、機微なアセットの情報を組み合わせ、インターネットのエントリーポイント (開始アセット) からコアターゲット (エンドアセット) までの完全な攻撃シーケンスを論理的に推定します。

  • 可視化グラフ：攻撃パスグラフ を提供し、攻撃ノード、ラテラルムーブメントのパス、関連する公開コンポーネントをグラフィカルに表示します。複雑なネットワーク環境におけるリスク伝播の関係を直感的に提示します。

  • 多次元リスクタグ：アラート、脆弱性、弱いパスワード、重要ノード、機微なアセット、公開 AI アプリケーション、クラウドセキュリティ設定のリスクを網羅し、高リスクポイントを正確に特定するのに役立ちます。

  • 態勢の概要：Top 5 リスクパス、攻撃パスタイプの分布、アセットの公開方法の統計を通じて、攻撃対象領域の全体的なリスク態勢を定量化します。

• リスク対応

  • 修復と強化

    攻撃パスグラフ における攻撃パスノードで明らかになった特定のリスクポイント (システムの脆弱性、CSPM の設定リスク、ネットワークポートの公開など) について、対応する脆弱性管理、CSPM モジュール、または ECS コンソールに移動し、修復、強化、セキュリティグループルールの調整を行って、リスクを根本から排除します。

  • [今すぐ対処] (許可リスト)

    誤検知、または許容可能なリスクであることが確認された場合に適用します。許可リストポリシーを設定して、特定の開始アセットからエンドアセットまでの攻撃パスを除外します。システムは、そのパスに対するリスクデータを以後生成しません。