アタックサーフェスとは、企業のデジタルネットワークによって生み出される脆弱性全体を指します。この場合、ネットワークとは「表面（サーフェス）」を意味し、脅威アクターは、アクセスが可能なあらゆる箇所からこの表面への侵入を試みます。
米国政府の『National Initiative of Cybersecurity Careers and Studies』によると、アプリケーションのアタックサーフェスは、攻撃者がソフトウェアに触れることができるエントリーポイントの数を表します。アタックサーフェスが大きいほど、攻撃者が攻撃に使用できる方法も多くなり、反対にアタックサーフェスが小さいほど、攻撃者が脆弱性を発見する可能性は低くなり、システム内で大きな影響を与える悪用のリスクが低くなります。
アタックサーフェス（攻撃可能領域）が実際にどのようなものかを考え始める際には、個々の組織の観点からそれをコンテキスト化することが役立ちます。 すべての組織には異なる目標があるため、それぞれの アタックサーフェス管理 方法は異なります。
デジタルアタックサーフェスとは、あらゆるデバイス上に展開されたウェブアプリケーション、API、サイバーセキュリティプログラムなど、ネットワーク上で「デジタル」、つまり物理的でないものとして分類されるあらゆるものを指します。企業がサプライチェーンパートナーと契約を結んでいる場合、そのアタックサーフェスは特定の組織の境界を越えて自然に広がります。
物理的なアタックサーフェスには、ネットワークの維持に不可欠な非デジタルハードウェアが含まれ、サーバー、ポート、配線やネットワークケーブル、電話/ノートパソコン/スマートウォッチ/スマートヘッドフォンなどの物理エンドポイントやデータセンターなどがすべて対象となります。
この種のアタックサーフェスへの攻撃では、攻撃者となりうる人物は、こうした有形資産を操作するために物理的に取得やアクセスを行う必要があるため、さまざまな動作が必要となります。
前述したように、ソーシャルエンジニアリングに関連する攻撃対象は主に人間となり、こうした手法には、フィッシング攻撃、ハニーポット、リンクスプーフィング、ピギーバッキングなどが含まれます。この種の攻撃は、ネットワーク上の人間のユーザーに、目にしている内容が完全に正当であると信じ込ませるように設計されています。
具体的には、エンドポイントにマルウェアをインストールするリンクをユーザーにクリックさせるために作られた偽メール、バッジを忘れたと実際の従業員に信じ込ませようとしてオフィスに侵入する人物、上司や社内の誰かからと思われるテキストメッセージをユーザーに送信するソーシャルエンジニアリングの試みなどです。
攻撃ベクトルとは、脅威アクターがネットワークにアクセスしようとする単一の経路を指します。アタックサーフェスは、脅威アクターが悪用する可能性があるネットワーク全体に沿ったすべてのベクトルで構成されます。
攻撃ベクトルは、基本的に、攻撃者がシステムに侵入した箇所にあります。そこから、攻撃者は目的の情報またはリソースへの攻撃パスをたどります。例えば、マルウェアには、トロイの木馬、ウイルス、ワームの3つの主要なベクトルタイプがあり、電子メールなどの一般的な通信を利用します。
攻撃ベクトルの一つひとつは小さくとも、こうしたエントリーポイントが数多く作られた結果、脆弱性が高まり、一般的なネットワークがアタックサーフェスとして拡大する可能性が出てきます。ネットワークが動的な攻撃対象領域になっている場合は、Extended Detection and Response （XDR）、クラウドセキュリティ、脆弱性リスク管理（VRM）など、セキュリティプログラム全体について検討を始めることをお勧めします。
フィッシング詐欺などのソーシャルエンジニアリング攻撃が行われる場合、コンピューター、システム、セキュリティ、ネットワークを操作する人間も攻撃ベクトルとなりえます。
アタックサーフェスに沿って脅威アクターが攻撃する可能性のある経路を特定することは、サイバーセキュリティプログラムのうち、動的で多面的、かつ継続的となる最も重要な部分を作成するための演習となります。
Open Worldwide Application Security Project(OWASP)によると、アタックサーフェス析は以下を特定するのに役立ちます。
最後のポイントは、アタックサーフェスを 継続的に分析して特定する必要性と一致しています。 また、セキュリティ担当者は、企業やセキュリティの目標がいつ変更されたかを把握し、リスクプロファイルを調整できるようにする必要があります。 昨日は 攻撃経路 に沿った防御を強化するための修復の優先事項と考えられていたものが、今日ではリストの下位に分類される可能性があります。
アタックサーフェスに、攻撃者が悪用できるネットワーク上のポイントの集合が含まれる場合は、調整されたリスク プロファイルに応じて、その収集がどの程度の頻度で変更される可能性があるかを検討してください。
脅威アクターが悪用しようとしている多数の脆弱性/ベクトル/侵入ポイントをセキュリティ組織が最小限に抑える上で役立ついくつかのベストプラクティスを見てみましょう。
クラウド リスク管理(CRM)、拡張検知と対応(XDR)、そしてAIを活用したクラウド異常検知などのツールを活用することで、セキュリティチームのアタックサーフェスを削減し、迅速かつ正確に脅威を排除することができるようになります。