いつも記事を読んでいただきありがとうございます！
モブエンジニア（@mob-engineer)です！
今回は2025.03.20（木）に開催したM365セキュリティ&ゼロトラスト勉強会へ参加しましたのでアウトプットとしてイベントレポートを執筆しました。
初学者でもサクッと読めるように平易な表現で執筆しておりますので、お気軽に読んでいただければ幸いです。
イベントページ
目次
- （事前知識）セキュリティエクスポージャーとは
- イベントレポート
- まとめ
（事前知識）セキュリティエクスポージャーとは
エクスポージャー管理（EM）とは、脅威アクターや侵害に対して脆弱となることで全体的なリスク態勢を高める可能性のある、組織のアタックサーフェスに沿ったアクセスポイント（または攻撃ベクトル）とデジタル/物理的資産に対処するプロセスを指します。
セキュリティ組織が脅威へのエクスポージャーを管理する方法を具体的に説明すると、CISOやその他の専門家がとれる手段は数多くありますが、より包括的なソリューションの1つがサイバー資産アタックサーフェスマネージメント（CAASM）で、組織がセキュリティ体制の可視性を常時高めるため、デジタル資産を徹底的にインベントリ化するために活用できるツールです。
ざっくり言えば、資産に対する脆弱性分析を行うプロセスと理解しました。（本セッションを通じて、深堀りして知識キャッチアップしていきたいと思います）
イベントレポート
参考サイト
- 自己紹介
- Microsoft MVPの方
- 次回の勉強会ではAIとセキュリティについて取り上げる予定
- アイスブレイク
- 03/27（木）に東京ビッグサイトでMicrosoft AI Tourが開催予定
- （個人的考察）Copilot関連のセキュリティ案件が多く取り上げられているのね
- Microsoftセキュリティ露出管理
- 2024年11月29日にリリースされたサービス
- プレビュー段階でも幅広いライセンス契約で提供されている
- 機能としてアタック・サーフェス・マネジメントや攻撃経路解析などを行っている
- （個人的考察）AWSサービスであればAWS Security Hubに近しいのかしら？
- セキュアスコア機能も有している
- セキュアスコア機能：他Microsoftユーザとの比較を数値化したもの
- セキュアスコア機能に関しては各サービスごとに有効化/無効化できる
- 外部コネクタとの連携も可能
- （個人的考察）外部サービス向けにエクスポージャー管理できるのはうれしいですね
- サービス自体、最近GAしたため学習リソースは少なめ
- （個人的考察）開発者向けのAPI機能とかあるのかしら？
- 設計思想としてセキュリティ関連情報を一元管理できること
- Vurtual Ninja Trainingの下り
- エクスポージャー管理はExcel管理みたいなものなのか？
- （個人的考察）興味深いので後で見てみよう
- 露出管理デモ
- 計測時のメトリック情報をランク付けできる
- 重要な資産の概要についても示してくれる
- （個人的考察）ISMS関係者なら知っておいて損はないな
- 資産登録に関してもコンソールからできる
- （個人的考察）判定条件はMicrosoft独自だからカスタムでできないのね
- 資産状況に関してマッピングした形（マインドマップ）で表示してくれる
- （個人的考察）デバイス＋利用者と紐づいているのね
- （個人的考察）デバイスで許可されている権限も見れたりするのかしら？
- スプレッドシートで管理している資産をアウトプット可能
- スプレッドシート以外の可視化（グラフなど）も実現可能
- イニシアティブ深堀り
- （個人的考察）きちんと理解するのは難しいのよね
- ざっくり言えば、セキュリティトレンドを踏まえたベンチマークの集合体
- 攻撃手法、メトリクス、対策手法などなど
- Microsoft内のドメインイニシアティブではスコア表示をフォローしている
- （個人的考察）スコア算出ロジックもイニシアティブに示されているのかしら
- セキュリティに関する推奨事項の達成率に基づいてスコアが表示される
- スコア自体はちょくちょく変わってくる
- スコア変遷に関しても追いかけることができる
- 重要な要素に関してもアドバイスする機能を有している
- （個人的考察）セキュリティ初学者でもいい感じでセキュリティ対策できるイメージなのかしら
- CTEM（継続的エクスポージャー管理）
- 2022年にガートナーが提唱した手法
- Microsoft 露出管理も継続的エクスポージャー管理の考えを用いている
まとめ
エクスポージャー管理に関して理解しているようで理解していなかったので、今回のセッションを通じて少しだけ解像度を上げることができました。
そのうえで、Microsoft 露出管理機能についても触ってみたいといった思いを持ちましたので、検証→アウトプットを行ってみたいと思います。
最後まで、記事を読んでいただきありがとうございました！！