GMOサイバー攻撃 ネットde診断 ASMの評判・口コミ 全15件

改善してほしいポイント

複数人で運用する前提では、誰が、いつ、どの設定を変更し、診断実行や例外設定、ステータス更新などを行ったのかを、より詳細に追跡できるアクティビティログがあると安心です。変更差分や理由（コメント）まで確認でき、フィルタや検索がしやすくなると、引き継ぎや監査対応の面でもさらに使いやすくなると感じました。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

診断時の負荷がネックで本番で実施しにくい課題を、低負荷で止めることなく診断できることで解消できた。
日本語で分かりやすいレポートにより、関係者への説明や改修依頼がスムーズになった。
直感的に操作でき、設定も簡単で、導入・運用のハードルが低く、属人化を解消できた。

改善してほしいポイント

欲しい機能・分かりづらい点
・脆弱性診断機能の強化
その理由
・脆弱性診断に特化したツールではないため、細かい設定は性質上実装されないかもしれませんが、同社のWEBサイト診断ツール（for WEB）とのサービス連携やシナジーがあれば、ASMで診断しきれない範囲をカバーできると良いと思います。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

解決できた課題・具体的な効果
・IT資産の棚卸
・WEBサイトのオープンソースバージョン確認
課題に貢献した機能・ポイント
・シャドウITを含め、改めて公開IT資産を一覧化し、現行情報との突き合わせが行えた。担当者不明のIT資産もこれにより明確になった。
・WEBサイトのJavaScriptなどのバージョン管理は、本腰を入れて実施すると調査や対応に思いのほかコストがかかるが、本サービスは定期診断を含めて実施することで調査コストがかからなくなった。

検討者へお勧めするポイント

ASMツールが必要であれば、導入までの時間も含めておすすめ。
脆弱性診断としてWebサイトなどを詳細に診断する場合、付帯している診断機能では弱い部分がある。
IT資産の管理ができていないので、実施しなければ。
ITセキュリティはよくわからないけど、まずは一歩踏み出そう。
こんなケースには初級編がおすすめです。

改善してほしいポイント

・脆弱性とは言えないリスクが無い指摘（誤検知）がたまにある。
・脆弱性によっては数十個のCVEが紐づいていることがあり、社内でトリアージするのが大変であるため、外部から見える情報とCVE番号を紐づけるだけではなく、各CVEに対して本当に関連があるのか吟味してから指摘にあげてもらえると、社内トリアージの工数が削減される。
・指摘事項一覧がCSV出力できないので、一覧で俯瞰して情報をみることができない。画面上でそのようなことができればよいが、今のUIでは指摘ごとにクリックしないと情報がわからないのと、画面右側にポップアップのように表示されるUIであるため印刷して他部署に情報展開できないため、エクセルライクなUIや別タブ表示なども出来るようにしてほしい。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

自社が関連するインターネット上に公開されているホストの検出のためにドメイン棚卸を使用し、シャドーITを管理状態にすることができています。
ASMで脆弱性を検出し、社内で対策することで社内のセキュリティリスクを低減することに貢献できています。

検討者へお勧めするポイント

脆弱性の検知能力

改善してほしいポイント

・特段大きな不満はない
・検出される脆弱性が多岐にわたるため、サイト内チャットボットの形で、例えば「この指摘事項について簡潔に教えて」や「緊急度順に対応が必要なドメインを上から並べて」のようなプロンプトを送れるとうれしい

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・インターネットに公開しているIT資産（Webサイト、NW機器）の一覧化するきっかけになったこと
・所管している部署に対して、要対処の原因や対処方法を容易に伝えられるようになったこと
・あいまいだったWebサイト導入基準について、脆弱性診断を実施し、B以上を取ることを一つの基準にできたこと

検討者へお勧めするポイント

脆弱性診断結果（現状・原因・対策）がわかりやすいこと

改善してほしいポイント

使用開始直後のため、特に不満は感じていないし、インターフェースもわかりにくいところはない。現状では他社に依頼しているが、対策案がもう少し具体的に提示されてもよい気がする。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

把握していなかった関連ドメインが一覧化でき、今後の整理の土台となった。対策の必要度合いが明確だったため、重要な項目から対応を進めることができた。入力項目がほぼ所持ドメインのみだったため、オペレーションが簡便で手間が省けた。

改善してほしいポイント

診断対象のサーバーOSがLinuxの場合、バックポートによってセキュリティパッチが適用されていても、ソフトウェアのバージョン番号だけを見ると古いバージョンのままに見えるケースがあります。そのため、実際には対策済みであるにもかかわらず脆弱性として検出される場合があります。
このようなケースに対応するため、検出された脆弱性に対して「対策済み」や「誤検知」といったステータスを付与し、次回以降の診断で除外できる機能があると、より効率的に運用できると感じています。
一方で、本サービスは継続的に新機能の追加や改善が行われており、毎月のように機能強化が進んでいます。今後、このような運用を支援する機能の追加も期待しています。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

グループ会社を含むインターネット公開資産の脆弱性の管理・把握に活用しています。
近年、IT資産を管理する各部門からセキュリティに関する相談が増えていますが、本サービスの診断レポートは内容が分かりやすく、対策方法も設定レベルまで具体的に記載されています。そのため、各部門への説明や対応方針の検討にかかる負担が大幅に軽減され、大変助かっています。
これまではセキュリティ診断を実施する際、専門業者へ依頼する必要があり、費用負担のため頻繁に実施することが困難でした。しかし、本サービスでは比較的低コストで定期的な診断を実施できるため、継続的な脆弱性管理や監視が可能な点を大きなメリットと感じています。

検討者へお勧めするポイント

診断結果のレポートが分かりやすく、リスクの優先順位や対策方法が具体的に示されるため、各部門への説明や是正対応がスムーズに進められる点を高く評価しています。

改善してほしいポイント

・ASMツールとしては必要十分な機能を保持すると考えるため特段不満はありません。
・製品改善ポイントではないが、より活用できるヒントとしては
CSVファイルをまとめる方法（VBAやPython）を準備しておくとよりよい運用ができるかと思います。
幾つかの情報（CVE情報一覧や検査結果一覧）がCSVファイルで出力できます。
CVEや脆弱性の発生/消滅の時系列変化を視覚的に確認できるようなツールを作ると
環境状態や対処状況についての予想ができるようになり「先手で動ける運用」ができるようになるかと思います。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・グループ会社・子会社が多く、各々のIT管理の履歴がわからない状態であったが、未知のドメインを多く発見できた。
検討していた他のASMソリューションよりも発見機能は勝ると感じた。
・ASM運用を新たに行うという事は、脆弱性レポートが送られる（現場から見るとわけのわからない仕事が増える）ことなるので、対処方法の相談とかの質問対応等の雑務が増える懸念があったが、レポートの作りによるためか想定よりも質問が少なく、かつ自発的に動いてもらえている感想を持っている。

検討者へお勧めするポイント

脆弱性対策／ASMを行う際に、大きなウエイトをしめるのが「対処者に対処をしてもらう」という事かと考えています。対処者に動いてもらう際に「何をしたらよいのか分かりやすいレポート」を出せる事がポイントで、レポートがわかりやすくないと「なおし方わからん！」と対処方法の質問が来たり「忙しいからやらねぇ！」とかヘソをまげられたりします。
サンプルの脆弱性対策レポートを対処者側にみてもらい「このレポートだけで動けるか？」と感想を聞いてみると導入後の運用がスムースに動くかと思います
（他競合製品よりわかりやすいレポートを出してくれていると思います）

改善してほしいポイント

欲しい機能
・ドメインの棚卸で他社のドメインが検出された場合に、次回以降は検出されないように設定できる機能が欲しい。
その理由
・同名の会社が複数存在するため。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

解決できた課題・具体的な効果
・コストを抑えて導入することができた。
・定期診断が設定でき、完了するとメールが届くので、作業予定を気にしなくてよい。
・必要な時に都度の診断が可能なので、改修後にすぐ診断して結果を確認できる。

改善してほしいポイント

欲しい機能・分かりづらい点
・ドメインなど任意の単位でグループ化したレポート出力は可能だが、任意に選択したURLのみを対象にレポート出力できないので、改善してほしい
・ルーターやファイアウォール等の機器に対する脆弱性チェック機能を向上してほしい

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

解決できた課題・具体的な効果
・社内のパブリックIPアドレスに対して、どのような脆弱性が存在するかを確認できた
・海外子会社が運用しているWebサイトについても確認を行い、脆弱性の発見に役立った