ソリトンシステムズは3月2日、企業サプライチェーンのサイバーセキュリティ・リスクを調査する「サプライチェーンセキュリティリスク調査サービス」を開始した、と発表した。
同サービスは、「漏洩アカウント被害調査サービス」と「外部公開IT資産リスク調査サービス」の組み合わせで提供されるサービス。
サイバー攻撃者がターゲット組織を調べる際に用いるOSINT (オープンソース・インテリジェンス) 手法（＊）を採用しているのが特徴で、攻撃者目線でサイバー空間に存在する情報を収集することにより、「自社を含むサプライチェーン全体の外部に漏洩したパスワードを含むアカウント情報や、組織が保有する公開IT資産の脆弱性などを明らかにし、リスクを発見する」という。
（＊）OSINTは、「合法的に入手できる情報・データ」を「合法的に調べて突き合わせる」ことで目的の情報を得る手法
サービスの利用にあたって必要な情報は、ドメイン名のみ。日本を含めて全世界を対象に調査可能で、調査結果を基に、サイバー攻撃対策のコンサルティングサービスや実装作業も提供することも可能としている。
漏洩アカウント被害調査サービスの特徴
・1500ドメインを超える調査実績（2019年5月より提供
・顧客の被害状況を、ドメイン配下のサブドメイン単位で報告可能
・個々の漏洩アカウントについて、該当する事件名やパスワード漏洩状況などを報告可能
・オプションサービスとして、サイバー空間上の類似ドメインや打ち間違いリスクも報告可能
外部公開IT資産リスク調査サービスの特徴
米LookingGlass Cyber Solutionsの攻撃対象領域管理ツール「scoutINSPECT」を利用するサービスで、インターネット上に曝された企業のIT資産を明らかにしてリスクを検出するとともに、サプライチェーン全体のIT資産調査によりセキュリティリスクの発見と低減を可能にするサービスである。
・ネットワークをスキャンし、インターネットに接続されたすべてのIT資産をカタログ化
・脅威情報ソースを活用したリスク評価
・主要クラウドサービス内の各種リソースのスキャンも可能（現在はAWSのみ。AzureおよびGCPは近日対応予定）
・顧客環境に調査用のサーバーやエージェントのインストールは不要
利用料金は、1回・10ドメインの基礎調査で350万円～。その後、継続的なモニタリング調査を行う場合、外部公開IT資産の月次スキャン費用は、1ドメイン年間240万円～。専門家による調査・監査サービスは、約2カ月で1報告書あたり700万円～。
・漏洩アカウント被害調査サービス
https://www.soliton-cyber.com/all-services/csa
・外部公開IT資産リスク調査サービス
https://www.soliton-cyber.com/services/scoutinspect-attack-surface-management
［i Magazine・IS magazine］
