ASM診断とは？外部公開資産の見える化から脆弱性診断・ペンテストとの違いまで解説

ASM診断で何を診るのか

ASM診断は、Attack Surface Management の考え方を使って、インターネットから見える外部公開資産を棚卸しする診断です。 経済産業省が 2023年5月29日に公開したASM導入ガイダンス↗でも、外部から把握できる情報を使って自組織の IT 資産を発見し、管理することが導入の出発点として整理されています。見る対象は、ドメイン、サブドメイン、DNS、HTTP 応答、TLS 証明書、公開管理画面や API など、攻撃者が外部観点で観測できる接点です。

ここで重要なのは、システム内部へ入って設定やコードを精査するのではなく、外から見えている現実を基準にすることです。だから ASM診断は「何が公開されているか分からない」「台帳と実際の公開面がずれていそう」「どこから優先的に深掘りすべきか知りたい」という段階に強く、脆弱性そのものより広い意味で、露出している資産と危険な状態を捉える役割を持ちます。

ASM診断で見えるもの

外部公開資産診断としての ASM診断で拾いやすいのは、公開ドメイン一覧、DNS の残骸、意図せず見えているログイン画面、期限切れ間近の証明書、停止済み環境の CNAME などです。つまり「弱点があるか」以前に、何が出ていて、誰が把握できていないか を掴むのが得意領域です。

ASM診断だけでは見えないもの

一方で、認証後の業務ロジック欠陥、詳細な権限昇格、内部ネットワーク上の脆弱性、コード実装に依存する欠陥までは ASM診断だけで十分に見切れません。そこは脆弱性診断やペンテストの役割です。検索結果でも「代わりになるのか」がよく問われますが、答えは代替ではなく、ASM診断で対象漏れを防ぎ、その後に必要な深さの検査へつなぐ です。

脆弱性診断・ペンテスト・脆弱性管理との違い

「診断」という同じ語が付くため混同されやすいのですが、4つの活動は見ている面が違います。脆弱性診断は指定対象の弱点を洗い出し、ペンテストは攻撃シナリオベースで侵入可能性を確かめ、脆弱性管理は検出結果を継続運用へ乗せます。これに対して ASM診断は、何が公開されているか、どの公開面が危険か、どの資産が未管理かを把握するための入口です。

したがって、関係は代替ではなく役割分担です。ISOG-J のコラムでも、ASM ツールは脆弱性診断の代わりにはならず、その逆も同様だと整理されています。現場感覚に引き直すと、ASM診断は「広く浅く早く」、脆弱性診断やペンテストは「狭く深く確かめる」側に寄ります。公開範囲が曖昧なまま深い診断だけを実施すると、そもそも対象から漏れている資産 が残りやすくなります。

脆弱性管理との関係

狙っている sub kwd のひとつである「脆弱性管理 との違い」は、実務上とても重要です。脆弱性管理は、見つかった弱点を評価し、修正し、再確認する継続運用です。ここに ASM診断を足す意味は、脆弱性管理の対象集合そのものを広げられることにあります。つまり ASM診断は、脆弱性管理の代わりではなく、脆弱性管理の前提となる資産把握を強くする活動です。

ASM診断が向いている企業

ASM診断が特に向いているのは、複数ドメインを持ち、委託先やマーケティング部門、子会社、M&A で引き継いだ資産を含めて公開面が増えやすい企業です。過去に棚卸ししたはずだが最近は見直していない、停止済みサービスの DNS が残っていそう、ログイン画面や検証環境が公開されたままかもしれない、といった不安があるなら導入価値は高くなります。

逆に、単一アプリの深い脆弱性確認だけが目的なら、ASM診断だけでは足りません。しかし現場では、対象システムをひとつ深掘りする前に、そもそも対象を漏らしていないか を確認する必要があります。そこで ASM診断が土台として効いてきます。

• ブランドや事業ごとにドメインが増え、主台帳だけでは追い切れない
• 委託先や子会社の公開面まで含めると、誰の担当か曖昧な資産がある
• 脆弱性診断は回しているが、毎回「対象の漏れ」が気になっている
• 停止済みキャンペーン、採用サイト、ステージング環境が残っていそう
• 継続監視や月次レポートへつながる形で公開面を管理したい

反対に、ソースコードレビューや認証後の詳細な業務ロジック検査が主目的なら、ASM診断を起点にしつつも別手法を前提に設計するべきです。検索意図に対しても、「ASM診断だけで全部見える」と誤解させないことが重要です。

まず見つかりやすいリスク上位

放置サブドメイン

もっとも見つかりやすいのは、役割を終えたサブドメインが残るケースです。停止済みサービスやキャンペーンサイトの CNAME が残ると、意図しない公開や乗っ取りの起点になります。特に台帳が「申請した資産」を基準に更新されている組織では、実際には止まっていると思っていた接点が DNS 上に残り続けることがあります。

こうした残骸は、脆弱性診断の対象に最初から入っていないことも珍しくありません。だからこそ ASM診断で「あるはずのない公開面」を先に見つける価値があります。詳しくはダングリングDNSとサブドメインテイクオーバー解説も合わせて見ると整理しやすくなります。

管理画面露出

次に多いのは、管理画面やステージング環境の露出です。認証が掛かっていても、ログイン画面が見えているだけで攻撃対象として列挙されます。CISA も web management interface を public インターネット から極力隠す設計を強く推奨しており、公開している理由が説明できない画面は、それだけで改善候補になります。

実害は「その画面から直接侵入される」ことだけではありません。ブランド名、技術スタック、認証方式、パスワード再設定導線などが外から推測しやすくなり、他の攻撃と組み合わさりやすくなります。

証明書期限

証明書の期限切れや SAN の肥大化も見逃されやすい項目です。証明書は公開面の一部なので、単に失効事故を防ぐだけでなく、「どのサブドメインがまだ生きているか」を知るヒントにもなります。古い SAN が大量に残っている場合、使っていないはずの接点がまだ外に出ているサインかもしれません。

これら 3 つに共通するのは、重大な CVE がなくても、公開面としての危うさ が先に見つかることです。ASM診断はその初動を担い、深い技術検証が必要なものだけを後続の診断へ handoff するのに向いています。

おすすめのASM診断サービス 3選

ここでは 2026年3月11日時点の公開情報ベースで、外部観点の発見力、継続運用へのつなぎやすさ、比較検討のしやすさの3軸から、最初に見ておきたい ASM診断サービスを 3 つに絞っています。網羅的なベンダー一覧ではなく、「いま ASM診断を検討し始めた担当者が、どの方向に進むべきかを掴むための比較」と考えてください。

1. ASM診断 PRO

先頭に置く理由は、ASM診断を比較検討している日本企業の多くが、まず「何が外に出ているかを早く掴みたい」「見つけた結果をそのまま担当へ戻したい」という段階にいるからです。機能概要、料金プラン、導入ガイド がつながっており、Public 診断から会員登録、TXT認証、Verified、レポート確認までの導線が分断されていません。英語 UI や重い初期設計よりも、最初の棚卸しと改善サイクルの立ち上げを優先するなら、比較の出発点として最も扱いやすいサービスです。

2. Microsoft Defender External Attack Surface Management

Microsoft Learn の overview↗では、Defender EASM は discovery seeds を起点に再帰的に資産を発見し、台帳と dashboard で外部公開面を可視化する構成だと説明されています。さらにSecurity Exposure Management initiative↗とつながるため、Microsoft 系のセキュリティ基盤をすでに運用している企業には相性が良いです。一方で、比較検討の初期段階で「まず無料に近い小さな棚卸しをしたい」という用途にはやや重く、Microsoft の設計思想に寄せて運用を組み立てる前提で見るのが適切です。

3. Tenable Attack Surface Management

Tenable の公式LP↗では、外部攻撃面を「インターネット-connected assets, services and applications」の可視化として整理しており、外部観点の棚卸しを脆弱性管理とつなげて理解しやすい構成です。Microsoft より製品メッセージが絞られていて、「まず external attack surface を見えるようにしたい」企業には比較しやすい一方、導入判断では Tenable 全体のライセンスや既存運用との接続まで確認した方がよいです。単独の無料導線より、既存の脆弱性管理基盤をどう拡張するかで評価するのに向いています。

ASM診断 PRO の診断フロー

ASM診断 PRO では、まず Public 診断で外部公開面を棚卸しし、会員登録後に全件結果と履歴管理へ進みます。さらに TXT 認証を完了すると、Verified 診断と継続監視で運用を安定化できます。診断結果は優先度順に並び、Basic 以上では CSV / PDF / Markdown / JSON でのレポート出力にも対応します。

重要なのは、ここで終わらせないことです。Public 診断で対象漏れを防ぎ、高リスク露出を見つけたら、必要なものだけを脆弱性診断やペンテストの対象へ絞り込む。そのうえで Verified 管理と継続監視へ戻すと、「知識は分かったが動けない」状態を避けやすくなります。

よくある質問（FAQ）

まとめ

ASM診断は、外部公開資産と露出リスクを外部観点で把握し、何を先に直すべきかを決めるための入口です。脆弱性診断やペンテストの代わりになるわけではなく、むしろそれらの対象漏れを防ぎ、脆弱性管理へつなぐために使うと最も効果が出ます。

もし「公開面がどこまであるのか分からない」「深掘り診断の前に対象を整理したい」と感じているなら、ASM診断から始めるのが自然です。逆に、すでに対象が明確で、特定システムの侵入可能性や詳細な欠陥確認が主目的なら、脆弱性診断やペンテストを主軸に据えるべきです。