JBCC、サイバー攻撃で狙われるIT資源とその脆弱性を調査する「Attack Surface診断サービス」

JBCCは2023年1月23日、アタックサーフェス（攻撃対象領域）診断サービス「Attack Surface診断サービス」を提供開始した。公開サーバーやサービスなど、サイバー攻撃で狙われやすいインターネット上のIT資源を調査してレポートする。診断ツールとして「Cortex Xpanse」（米Palo Alto Networksがクラウド型で提供）を使う。同ツールのライセンスをユーザーに販売するとともに、ツールを使った診断の代行やJBCC独自のヒアリング調査などをセットにして提供する。

　JBCCの「Attack Surface診断サービス」は、アタックサーフェス（攻撃対象領域）診断サービスである。公開サーバーやサービスなど、サイバー攻撃で狙われやすいインターネット上のIT資源を調査してレポートする（図1）。さらに、検出したセキュリティリスクに対する対策案やロードマップを、定期的な報告会で提言する。

図1：アタックサーフェス（攻撃対象領域）診断サービス「Attack Surface診断サービス」で検出する、攻撃対象となるIT資源の例（出典：JBCC）
拡大画像表示

診断ツールとして「Cortex Xpanse」（米Palo Alto Networksがクラウド型で提供）を使う。同ツールのライセンスをユーザーに販売するとともに、同ツールを使った診断を代行する。さらに、管理ツールによる診断だけでなく、ヒアリングも実施する。診断結果とヒアリング結果をあわせ、ユーザーに適した対策を提案する。

診断では、ドメインやIPアドレスなどを起点に、サイバー攻撃の侵入経路となり得るインターネット上のIT資源を見つけ出す。各部門で個別に構築したクラウド環境や、管理者が不明なまま最新の状態になっていないVPN装置、子会社や海外拠点のIT資産など、情報システム部門がこれまで把握または管理できていなかったIT資源を可視化する。

組織の規模やライセンスの有無などに応じて3つのプランを用意した。(1)「Attack Surface 診断サービス」は、Cortex Xpanseのライセンスを含まないプランである。ユーザーが自前でCortex Xpanseを契約・購入している必要がある。(2)「Attack Surface 診断サービス Plus Standardプラン」は大企業向けで、IT資源のデータを1日に1回更新する。(3)「Attack Surface 診断サービス Plus Lightプラン」は社員5000人未満の企業向けで、スポット調査型のライセンス「Cortex Xpanse Assess）を使って診断する（診断回数は契約次第。最小回数は年間で4回）。