イージスEWの製品情報（特徴・導入事例）

2025 年 05 月 15 日

イージスEWとは

イージスEWは、野良端末や漏洩情報も検出するプラットフォーム脆弱性診断ツールです。世界標準のCVSSv3.1による分かりやすいGUI表示、強力なASMとペネトレーションテスト、全ての診断結果の一括管理、リーズナブルな価格帯が主な特長です。
イージスEWは、ワールドワイドで使用されている次世代のASM（Attack Surface Management）およびペネトレーションテストのツールであり、ハッカーが攻撃対象を決定する際に最初に行うASM診断を事前に実施することで、ハッカー対策を行うことが可能です。イージスEWは、経済産業省策定の情報セキュリティサービス基準の認定を取得しています。

イージスEWの主な特長
【見やすいGUI】
診断結果はグラフや色分けによってグラフィカルに分かりやすく表示されます。診断結果の配色は、世界共通規格であるCVSSv3.1を使用しており、深刻度を色（赤、オレンジ、黄、青、緑など）で表示します。特に赤（緊急）とオレンジ（重要）の脆弱性は改修が義務づけられています。米国、英国、NATO主要国の公共機関は、赤やオレンジの脆弱性がある企業とは銀行口座を持てないなど、世界共通の評価基準として使用されています。サイバーセキュリティの専門知識がない場合でも、色で簡単に判断が可能です。

【強力なASMとペネトレーションテスト】 プラットフォーム脆弱性診断には、ASMとペネトレーションテストの両方が必要とされています。ペネトレーションテストだけでは「砂上の城」と同じです。イージスEWは、ASM（パッシブスキャン）とペネトレーションテスト（アクティブスキャン）の2項目で構成されています。ASMでは、野良端末チェック（全サブドメイン洗い出し）、ドメイン漏洩、各脆弱性分野診断（CVE含む、データ書込なし）を行います。ペネトレーションテストでは、IPアドレス基軸での全端末診断や、実際の書き込みによる深刻度測定、各脆弱性分野診断（CVE含む、データ書込あり）を行います。 他社や無料の脆弱性診断では、CVEのみであったり、野良端末の発見機能がなかったり、診断範囲が狭い場合が多いですが、イージスEWは広範囲な診断が可能です。

【全てのプラットフォーム脆弱性診断を一括管理】インターネット上のASM・ペネトレーション診断だけでなく、Edge-BOX（VPN-BOX）を用いた社内端末群、納品前システムのインフラ脆弱性診断も、共通GUIで統一管理が可能です。これにより、複数のツールを使う必要がなくなり、管理手法の一元化、管理者の工数低減に貢献します。 また、特定社会基盤事業者や需要インフラ事業者のネットワークに使用されるIoT機器の脆弱性診断もサポートしており、IoT機器単品ごとの診断結果提示が可能です。

【リーズナブルな価格帯】
イージスEWは、開発元のTitanium Defence Ltd.社が政府系資金を活用して開発を行った背景から、高品質でありながらリーズナブルな価格で提供されています。脆弱性診断は定期的な実施が必須であり、ネットワーク拡大に伴う対象端末増加や高額な診断コストが課題となる中で、適切な定期診断を可能にする価格帯となっています。

■イージスEWが診断可能な分野は広範囲にわたります。

CVE (Common Vulnerabilities and Exposures)：個別の製品中の脆弱性を識別する共通識別子で、多くのツールやサービスで利用されています。

クラウドサーバ診断：Amazon AWSやMicrosoft Azure上のセキュリティポリシーを診断します（ペネトレーションモードのみ有効）。VPCのデフォルトセキュリティグループ設定、ルートアカウントのMFA有効化、ストレージの公開範囲、セキュリティイベントのアラーム設定などを確認できます。Amazon S3におけるパブリックアクセスのブロック設定も調査します。

送信ドメイン認証 (MAIL)：「メールなりすまし」を防ぐための仕組み（SPF, DKIM, DMARCチェック）をサポートしています。

データ侵害 (情報漏洩) (BREACH)：攻撃者がWebサービスなどから取得し、ダークウェブ等に拡散した個人情報（特にメール情報）の漏洩診断を実施します。

Web認証関連 (WEBCERT)：WEBサーバ証明書に関する認証プロトコル全般の脆弱性チェック（TLS, SSLのバージョン情報など）を行います。

HTTP ヘッダー関連 (HEADER)：WEBアプリケーションとのHTTPプロトコルをセキュアにするための各種ヘッダーサポート状況を診断します。これにより、正しいチェックモジュールの搭載や攻撃防御設定を確認します。

ポートスキャン攻撃 (PORT)：ポートスキャンからの外部侵入に対する脆弱性を診断します。必要最低限のポートのみ使用し、不要なポートを常に閉じておく対策の確認が求められます。

野良端末検出機能：管理されていないサブドメイン内に存在する開発環境やテスト環境などの「野良端末」を自動で探し出してリスト化します。深刻度1（赤）のような重大な脆弱性が野良端末内に存在しているケースが多く見られます。
イージスEWは、システム納入時の「ハードニング」（=脆弱性対策）実施済証明作成において、グラフィカルな結果表示により説得力をプラスすることができます。イージスEWのお客様の約95%に赤・オレンジの脆弱性項目が発生しており、改修後の目標として総合評価（レーティング）で100点満点中60点以上の達成を目指します。
日本の多くの公共施設、特に重要インフラ事業者においても、ASM診断が適切に実施されていない場合があり、野良サーバの存在や多くのCVSS緊急・重要項目が放置されていることが報告されています。NIST（米国）、NCSC（英国）および日本の特定社会基盤事業者での使用ユーザーが増加しています。
イージスEWの開発・運用コアメンバーは、米国政府機関、英国国家機関、オセアニア政府機関などで脆弱性診断を実施した経験を持つプロフェッショナル集団で構成されています。
提供されるサービスには以下があります。

ASM脆弱性診断【無料】：イージスEW無料版によるASM脆弱性診断を実施できます。
脆弱性診断（有料版）：イージスEW有料版にて脆弱性診断の全データ結果を取得します。
診断結果セミナー【有料】：購入者向けの診断結果説明セミナーです。
デモンストレーション【無料】：導入検討者向けに個別にデモンストレーションを実施します。
システム改修・改善【伴走サービス】：診断された脆弱性の改修・改善を顧客と一緒に行うサービスです。
サイバーセキュリティ業務支援：手厚い研修と脆弱性診断後のシステム改修作業支援により、セキュリティ強化をサポートします。月額料金で提供され、柔軟な契約が可能です。
サイバーセキュリティ業務研修『未来の学舎』：社内セキュリティ業務チームの立ち上げ、研修、認定取得サポートなどを目的とした研修サービスです。
イージスEWは、電力会社向けシステム開発会社、中堅工学系大学、SSO認証基盤サービス会社、大手化粧品製造業など、多様な導入事例があります。