External Risk Monitorの監視対象

External Risk Monitorは、自組織に関連するインターネット上の資産をより明確に把握したいチーム向けの、範囲を定めた外部可視化製品です。承認済みのドメイン、サブドメイン、IPレンジ、サービス、証明書、関連する兆候について、外部から確認できる内容を特定し記録するのに役立ちます。合意した範囲内で見える資産と露出について、証跡に基づく定期的な見通しを提供します。結果は、確定した範囲、外部からの可視性、入手可能な証跡、レビュー頻度、観測時点の環境の状態に左右されます。目的は、担当者に実務的なインベントリ、変更メモ、証跡、優先順位を提供することです。

何であるのか

本製品は、承認された資産の境界内で、パッシブな調査と範囲を限定したアクティブな偵察を組み合わせます。パッシブな作業では公開されているDNS、証明書、登録、サービスの情報を利用することがあり、範囲を限定したアクティブなチェックはレート制限を設けたうえで、合意したドメインとIPレンジに限って行います。レビューの対象には、ドメイン、サブドメイン、IPレンジ、開いているポート、外部から到達可能なサービス、HTTPおよびHTTPSの公開面、証明書、DNSの状態、露出した管理画面、忘れられた資産、公開ストレージの兆候、外部から見える設定上の問題が含まれます。何が観測されたか、いつ観測されたか、なぜ重要となりうるかを記録します。パッシブな調査と範囲を限定したアクティブなチェックを用い、エクスプロイトやより深いテストは別途承認されたペネトレーションテストで扱います。指摘事項は深刻度の文脈と是正の優先順位とともに整理され、チームが何を検証し、解消し、監視し、別の担当者に引き渡すかを判断できるようにします。

誰のために

External Risk Monitorは、次のようなチームに適しています。

事業の成長、ベンダーの変更、クラウドの変更、長期の運用期間を経て、外部公開資産のインベントリをより明確にする必要があるチーム
忘れられたドメイン、サービス、証明書、管理画面、外部から見える兆候を、管理が難しくなる前に特定したいチーム
プロダクト、インフラ、セキュリティ、経営の各チームが共同で確認できる証跡と変更メモを必要としているチーム
ペネトレーションテストや社内のセキュリティ責任を補完する、定期的な外部可視化を求めるチーム

明確にするのに役立つこと

本モニターで明確にできること：

合意した資産のうち外部から観測できるもの、および露出しているように見えるサービスや設定上のシグナル
ドメイン、DNS、証明書、ストレージ、管理画面、サービスの変更のうち、担当者や検証ステップが必要な箇所
是正の優先順位付けに十分な文脈がある観測結果と、さらに調査が必要な観測結果
外部可視化の範囲外にあり、アプリケーション、クラウド、ペネトレーションテスト、運用について別途の範囲を必要とする問い

含まれる内容

承認済みのドメイン、サブドメイン、IPレンジ、頻度、レート制限、除外対象を含む範囲の書面確認
合意した公開資産の境界内でのパッシブな偵察と範囲を限定したアクティブな偵察
可能な範囲で、ドメイン、サービス、証明書、ポート、HTTP/HTTPSの公開面、外部から見える兆候を含む資産インベントリ
外部公開に関する関連観測結果についての変更メモと証跡の記録
観測された状態に基づく深刻度の文脈と優先順位付きの是正ガイダンス
指摘事項、責任分担に関する問い、次のステップについてのアナリストによる説明（オプション）

含まれていないもの

本格的なペネトレーションテスト、エクスプロイト、認証情報の使用、無制限のスキャン、承認された境界を超えるアクセス
リアルタイム検知、継続的なマネージド運用、常時稼働のSOC対応、緊急のインシデント対応
すべての資産の発見、あらゆる露出の解消、将来の変更の防止、システムが安全であることの証明についての確約
別途範囲を定めない限り、内部の設定レビュー、アプリケーションのコードレビュー、クラウド移行、是正作業
法務、コンプライアンス、認証、規制に関する確認

それを選ぶべきとき

承認済みのインターネット公開資産を繰り返し外部から確認する必要があり、何に対処するかを決める前に証跡がほしい場合に、External Risk Monitorをお選びください。ドメインやインフラの変更後、ローンチ前、責任の所在が不明確なとき、またはより広範なセキュリティレビューの定期サイクルの一環として有用です。中心となる問いが、特定のアプリケーションがエクスプロイトに耐えられるかどうかである場合にはあまり適していません。その場合は、専用のアプリケーション評価やペネトレーションテストの範囲の方が適切なことがあります。本製品は、組織が資産の境界を確定し、指摘事項の担当者を指名し、観測結果のレビュー方法に合意できる場合に最も効果を発揮します。

私たちのアプローチ

まず、何をどのように観測してよいかを確認します。合意した範囲で、ドメイン、IPレンジ、レート制限、頻度、除外対象、証跡に関する期待事項を定めます。公開情報と範囲を限定したアクティブなシグナルを収集し、観測された兆候と検証済みの内部要因とを区別します。指摘事項は、担当者が資産、証跡、想定される懸念、実務的な次のステップを理解できるだけの文脈とともに記録します。各結果は証跡と確度とともに報告し、リスクやエクスプロイトの可能性に対する意味が明確になるようにします。引き継ぎ時には、是正、追加の検証、別途範囲を定めたレビューに役立つインベントリと意思決定の記録をお渡しします。これにより、本製品を有用で焦点の明確な、範囲のはっきりしたものに保ちます。

External Risk Monitorセキュリティ製品ページを見る