defender-easm

Microsoft Defender EASM

Defender External Attack Surface Management（EASM）は、組織のインターネットに公開された領域を継続的に外部視点から棚卸しし、その資産に潜むリスク（期限切れの SSL 証明書、公開された管理インターフェイス、サポート終了したウェブ技術、既知の CVE など）を明らかにします。エージェントや認証情報は不要です。

使用する場面

• インターネットに公開された資産の完全な一覧がない場合（ほとんどの組織が該当します）。
• M&A：統合前に買収先企業のインターネット上の領域を迅速に発見する場合。
• 子会社やシャドー IT の発見 — 誰が登録し、どこに展開した資産でも対象になります。
• 証明書の有効期限、公開サービス、非推奨ソフトウェアを継続的に監視する場合。

内部資産のセキュリティ態勢（defender-for-cloud-hardening）、エンドポイントの脆弱性管理（defender-for-endpoint）、または一般的な SOC ハンティング（sentinel-detection-engineering）にはこのスキルを使用しないでください。

検出の仕組み

EASM はシード（既知のドメイン、IP、ASN、連絡先（WHOIS）、組織名など）を起点に、DNS、WHOIS、証明書の透明性ログ、ASN データ、ウェブクローリングをたどって関連資産を発見します。検出結果は次のいずれかに分類されます。

状態	意味
承認済みインベントリ	所有していることを確認済み。料金の算定対象になります
候補	発見されたものの未確認。確認して承認または却下します
依存関係	資産で使用されていますが、所有していません（CDN、サードパーティー API など）
監視のみ	追跡対象ですが、所有していません（パートナーなど）

経験則： 確度の高いシードを 5〜10 個から始めます。検出の連鎖を信頼し、すべてのドメインを手動で追加しようとしないでください。未知のものの中の未知のものを見落とすことになります。

アプローチ

1. シードの選定。 主要なブランドドメイン、上位 2 つの ASN 番号、および主要なメールドメインに関連する WHOIS 連絡先をいくつか追加します。誤検出が大量に発生するため、一般的な CDN ドメインはシードとして使用しないでください。

2. 初回の検出実行（24〜72 時間）。最初の 1 か月は、毎週候補を確認します。実在するものを承認し、誤検出は理由を添えて却下します（検出の改善に使用されます）。

3. ラベル付けとグループ化。 資産に事業部門、地域、重要度のタグを付けます。ラベルがないと、リスクの確認結果を具体的な対策に結び付けられません。

4. 攻撃対象領域の分析情報 — 影響の大きいものから対処します。 優先順位：

   1. インターネット上の IP で公開されている機密性の高いサービス（RDP/3389、SMB/445、データベースポート）。
   2. 30 日以内に期限切れとなる、またはすでに期限切れのSSL 証明書。
   3. サポート終了ソフトウェア（Apache 2.2、IIS 7、OpenSSL 1.0）。
   4. 特定されたバージョンに既知のエクスプロイトがある重大または高リスクの CVE。
   5. 未承認のクラウド — 承認済みリストにない CSP の資産。

5. 他の製品と連携します。

   • Defender for Cloud（CSPM） — EASM が検出した Azure 資産を Azure リソースと関連付け、内外を網羅した全体像を把握します。
   • Defender XDR — 公開資産が攻撃対象領域の分析情報に表示されます。
   • Sentinel — REST API 経由で EASM データをウォッチリストに取り込み、ハンティングに使用します（例：「アウトバウンドの C2 通信先が、EASM で特定された自社所有の依存関係と一致した場合にアラートを発する」）。

6. M&A ワークフロー。 デューデリジェンス中に買収対象企業のシードを追加し、候補の一覧を統合に向けたリスク台帳としてエクスポートします。取引完了まではインベントリに承認しないでください。

7. 四半期ごとに再ベースライン化します。 ブランドの統合、廃止された子会社、売却された事業部門により、シードの一覧は変わります。

ガードレール

• 慎重に承認してください。承認するたびに課金対象のアセットが増えます。 理由を添えて却下することも、承認と同じくらい重要です。今後の検出精度を高め、コストを管理できます。
• 料金はアセットごと、月ごとで、月間無料枠も十分にあります。CDN の依存関係を一括承認する前に、課金の仕組みを理解してください。
• EASM は検出を行うものであり、対応は行いません。 公開されている RDP の存在は通知しますが、ポートを閉じるには、別の場所でネットワーク／ファイアウォールの変更が必要です。
• 「比較するため」に競合他社のドメインをシードとして登録しないでください。 検出範囲が積極的に拡大され、アトリビューションにノイズが生じます。
• ゼロデイ脆弱性の検出は期待しないでください。 EASM は公開バナーからバージョンと既知の CVE を照合します。バナーが削除されていると、リスクを検出できません。内部の脆弱性スキャンと併用してください。
• WHOIS データの品質は、レジストラやプライバシー保護の設定によって異なります。 WHOIS では所有者を特定できないアセットもあります。ある程度の手動承認作業を見込んでください。
• 再検出の間隔は分単位ではなく、日単位です。 1 時間の露出期間を EASM で検出できるとは期待しないでください。その役割はランタイム監視が担います。

よくあるアンチパターン

• 「念のため、候補をすべて承認した」 — 請求額が急増し、ノイズも増えます。自社のものだけを承認し、それ以外は却下してください。
• 「売却したものも含め、これまで所有したすべてのドメインをシードにした」 — 売却済みのアセットが攻撃対象領域に残り続けます。基準を見直してください。
• 「EASM だけを脆弱性スキャナーとして使った」 — バナーに基づく検出であり、認証も行わず、内部のアセットも見逃します。MDVM／MDE と組み合わせてください。
• 「ラベル付けを省略し、アセットが 10K 件になった時点でダッシュボードが使い物にならなくなった」 — 初日からラベルを付けてください。
• 「EASM の検出結果を、SOC キューでトリアージするアラートとして扱った」 — これらはインシデントではなく、セキュリティ体制に関する情報です。L1 でのトリアージではなく、アセット所有者による修復に割り当ててください。
• 「社内のアセット名をシードとして使った」 — 外部から名前解決できず、検出も行われません。

プロンプトの例

• グローバルに事業を展開する 3 ブランドの企業向けに Defender EASM をセットアップしてください。シード戦略とラベルを設定してください。
• 買収対象企業の EASM 検出を実行し、30 日間のリスク台帳を作成してください。
• 承認済みインベントリ全体から、今後 30 日以内に有効期限が切れる SSL 証明書を抽出し、アセット所有者に割り当ててください。
• インターネットに公開されているアセット上で、公開状態の RDP／SSH を見つけ、検出結果をネットワークチームに割り当ててください。
• EASM データを Sentinel にウォッチリストとして統合し、自社所有の依存関係へのアウトバウンド C2 通信をハンティングできるようにしてください。
• 許可リストにないクラウド上のアセットから、未承認のクラウド利用を特定してください。
• 外部公開アセットが 50,000 件ある場合の月額費用を見積もってください。

Microsoft Learn

• 概要：https://learn.microsoft.com/azure/external-attack-surface-management/
• 検出とシード：https://learn.microsoft.com/azure/external-attack-surface-management/
• インベントリの状態：https://learn.microsoft.com/azure/external-attack-surface-management/understanding-inventory-assets
• 攻撃対象領域の分析情報：https://learn.microsoft.com/azure/external-attack-surface-management/understanding-dashboards
• ラベル：https://learn.microsoft.com/azure/external-attack-surface-management/labeling-inventory-assets
• Defender XDR との統合：https://learn.microsoft.com/azure/external-attack-surface-management/
• 料金：https://azure.microsoft.com/pricing/details/defender-external-attack-surface-management/