2026年10月のPHP脆弱性への事前準備の呼びかけで、IPAは、サポートが終わった古いPHPを使い続けているウェブサイトやウェブサービスが見受けられると書きました。攻撃者がまず探すのは、こうしたインターネットから見える古いサーバーです。社内の台帳に載っているかどうかは、攻撃者には関係がありません。
この記事の要点
- IPAが中小企業126社に行ったASM診断では、全社で何らかの脆弱性が見つかった
- 役目を終えたサイトが残るのは、作る手続きはあっても、閉じる手続きと持ち主の引き継ぎがないから
- 外から見える姿を定期的に点検し、持ち主の分からない資産を見つけたら止める判断をする人を決めておく
外から見える資産を測る「ASM」
ASM（Attack Surface Management）は、インターネットから把握できる情報を使って、自組織のIT資産を見つけ、管理する考え方です。IPAが2026年3月27日に公開した「ASM診断および事例集作成業務」の報告書では、中小企業126社を対象にASM診断を行い、全社で何らかの脆弱性を検知したとしています。報告書は30の事例をまとめ、背景として、サプライチェーンを構成する中小企業がサイバー攻撃の標的となる事例が増えていることを挙げています。
大企業でも事情は似ています。台帳にあるサーバーは管理されていても、台帳の外にあるものは、外から見て初めて存在に気づくことがあります。
持ち主の分からないサーバーが生まれる理由
- キャンペーンサイト: 期間限定で作り、終わった後も「念のため」残す。担当者の異動で持ち主がいなくなる
- 部門が個別に立てたサーバー: 情報システム部門を通さずに、制作会社やクラウドで立ち上げたもの
- 古いフォームや資料ダウンロードのページ: サイトを作り直したときに、旧サイトの一部だけが残ったもの
- 検証用の環境: 一時的に外へ公開し、そのまま閉じ忘れたもの
共通するのは、作る手続きはあっても、閉じる手続きがないことです。誰が持ち主で、いつ閉じるのかが決まっていないサーバーは、更新も止まりがちです。重大な脆弱性が出たとき、こうしたサーバーは「影響はあるか」の問いにいちばん答えにくい場所になります。
外から点検し、持ち主を決める
- 外から見える姿を測る: 自社のドメインやIPアドレスの範囲で、何がインターネットから見えているかを定期的に点検する
- 台帳と突き合わせる: 見えたものを台帳と照らし、載っていないものを洗い出す
- 持ち主を決めるか、止める: 持ち主が見つからないものを、期限を決めて止める判断をする人を決めておく
- 閉じる手続きを作る: 公開するときに、閉じる日と持ち主を一緒に登録する
持ち主の分からないサーバーを止めるのは、誰の権限でも決めにくい判断です。止める権限を持つ人を事前に決めておくと、点検の結果が放置されずに済みます。
外部公開状況の点検
当社の透過型UTM「ForceUTM」には、同意を得た公開アドレスのTCPポートを点検し、外部からどこが見えているかを確かめる機能があります。拠点や中小規模のグループ会社のオフィスで、意図せず外から見えている機器やサービスがないかを定期的に確かめる入口になります。
参考資料
外から見えている場所を確かめる
拠点や中小規模のグループ会社で、インターネットから見えている機器やサービスの点検についてご相談ください。
製品の詳細はForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・