「キミの部門で一番重大なセキュリティ脅威は何かね？」から始める“いまさら”アタックサーフェス管理のススメ

セキュリティ業界ではASMが大流行している。徳丸氏は「ASMは確かに重要だが、その概念自体は古くからある古典的なものだ」としつつ、なぜASMが“いまさら”注目されているのだろうかという問題意識から講演を始める。 ASMの定義は、NIST SP800-53では「攻撃者がシステム、システムコンポーネント、または環境に侵入したり、影響を与えたり、データを抽出したりすることを試みることができる、システム、コンポーネント、または環境の境界上の一連のポイント」（IPA〈情報処理推進機構〉による翻訳）とされている。これを踏まえて徳丸氏は、システムあるいはネットワークで攻撃の可能性がある場所を「攻撃可能領域」つまりアタックサーフェスと表現する。 アタックサーフェスの初期の用例としては、2002年12月に出版されたMicrosoftの公式解説書『Writing Secure Code』第2版（マイケル・ハワ