GMOサイバー攻撃 ネットde診断 ASMの評判・口コミ 全15件

改善してほしいポイント

欲しい機能・分かりづらい点
・ドメインなど任意の単位でグループ化したレポート出力は可能だが、任意に選択したURLのみを対象にレポート出力できないので、改善してほしい
・ルーターやファイアウォール等の機器に対する脆弱性チェック機能を向上してほしい

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

解決できた課題・具体的な効果
・社内のパブリックIPアドレスに対して、どのような脆弱性が存在するかを確認できた
・海外子会社が運用しているWebサイトについても確認を行い、脆弱性の発見に役立った

改善してほしいポイント

- 各サイトごとに脆弱性診断を実施した日時のログが確認できるとありがたいです。タイムラインはあり大まかな実施日付はわかりますが、サイト管理者から「この時間帯に攻撃されていて」と言われたときに正確な時間を確認するのが難しく困りました。
- PDF出力がブラウザの印刷ダイアログ経由のため、サイト数が多いと1件ずつ保存する手間がかかります。グループ一括出力があるので実務上は回避できますが、単体でもファイルを直接ダウンロードできると助かります。
- （ASMに求めるものではないのですが）指摘事項の対応方法は「Apacheの場合、Nginxの場合」のような一般的な説明にとどまりがちで、サイトの情報も踏まえた対応方法になっているとありがたいと思いました。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

- 把握していない資産が公開されているかもしれないが、確認する方法がないという課題があった。ASM機能による診断結果と把握している公開資産にずれがなかったため、問題なく管理できているという安心感を得られました。
- 多数のサイトを保有しており、すべてのサイトに対して簡易的な脆弱性診断を実施できたため、現状の公開資産のリスクを洗い出すことができました。

改善してほしいポイント

・棚卸しで他社の資産が見つかったが、結果一覧に表示されたままになっているため、非表示または削除する機能が欲しいです。
・対策管理の指摘事項をドメインごとに表示しているが、アコーディオンで開閉できるようにしてほしい。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・棚卸しで、他部署が勝手に立てたサイトが見つかった。
・通常の診断は費用が高く年1回程度しか実施できなかったが、何度でも行えるため、軽微な改修後にすぐ診断できる点。
・通常の診断と違い、費用の確認や診断日の調整、問診票の記入など、さまざまな手間がいらない点。

改善してほしいポイント

導入前に確認しておくべき技術的な条件（対象機器側の設定要件等）について、チェックリストのような形式で事前に整理された資料があると、より安心して導入を進められると感じました。運用開始後の設定変更手順や注意点についても、初めて利用する担当者向けにもう少し手厚い案内があると、社内展開がしやすくなると思います。今後、そうしたセットアップガイドやドキュメントの拡充に期待しています。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

継続的な自動診断に切り替えたことで、費用を抑えながら外部公開資産の状態を定期的に把握できる体制を維持できています。仕組みとして点検が回り続けるため、忙しい時期でも監視が途切れず、外部からの侵入リスクに対する備えを継続的に保てる点が大きなメリットです。手間をかけずに脆弱性管理の運用を継続できるようになりました。

改善してほしいポイント

現在、ユーザー権限は「システム管理者」「グループ管理者」「一般ユーザー」「閲覧ユーザー」の4種類ですが、閲覧ユーザーは所属しているグループ内の診断結果しか確認できません。
複数のグループを横断して診断結果を確認したい場合、管理権限を付与せずにすべてのグループを閲覧できる権限があると便利だと感じています。
または、1人のユーザーを複数のグループに所属させられるようになると、必要な範囲だけ閲覧権限を付与でき、より柔軟なユーザー・グループ管理ができると思います。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

これまでは、複数のWebサイトについて脆弱性の有無やセキュリティリスクを継続的に把握することが課題でした。
導入後は、管理しているWebサイトの診断結果をまとめて確認でき、脆弱性が検出された場合もリスクレベルをもとに対応が必要な箇所を把握しやすくなりました。また、診断結果をWebサイトの管理担当者に共有することで、具体的な対応依頼にもつなげやすくなっています。
継続的に診断することで、Webサイトのセキュリティ状況を定期的に確認できる体制を整えられたことが大きなメリットだと感じています。

検討者へお勧めするポイント

複数のWebサイトを管理しており、それぞれのセキュリティ状況を継続的に把握したい企業におすすめです。診断結果から脆弱性の有無やリスクレベルを確認できるため、対応が必要な箇所を把握しやすいと感じています。
特に専任のセキュリティ担当者がいない場合でも、Webサイトの管理担当者と診断結果を共有しながら対応を進めやすく、定期的な脆弱性管理の仕組みを整えたい企業に適していると思います。

改善してほしいポイント

複数人で運用する前提では、誰が、いつ、どの設定を変更し、診断実行や例外設定、ステータス更新などを行ったのかを、より詳細に追跡できるアクティビティログがあると安心です。変更差分や理由（コメント）まで確認でき、フィルタや検索がしやすくなると、引き継ぎや監査対応の面でもさらに使いやすくなると感じました。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

診断時の負荷がネックで本番で実施しにくい課題を、低負荷で止めることなく診断できることで解消できた。
日本語で分かりやすいレポートにより、関係者への説明や改修依頼がスムーズになった。
直感的に操作でき、設定も簡単で、導入・運用のハードルが低く、属人化を解消できた。

改善してほしいポイント

・特段大きな不満はない
・検出される脆弱性が多岐にわたるため、サイト内チャットボットの形で、例えば「この指摘事項について簡潔に教えて」や「緊急度順に対応が必要なドメインを上から並べて」のようなプロンプトを送れるとうれしい

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・インターネットに公開しているIT資産（Webサイト、NW機器）の一覧化するきっかけになったこと
・所管している部署に対して、要対処の原因や対処方法を容易に伝えられるようになったこと
・あいまいだったWebサイト導入基準について、脆弱性診断を実施し、B以上を取ることを一つの基準にできたこと

検討者へお勧めするポイント

脆弱性診断結果（現状・原因・対策）がわかりやすいこと

改善してほしいポイント

診断対象のサーバーOSがLinuxの場合、バックポートによってセキュリティパッチが適用されていても、ソフトウェアのバージョン番号だけを見ると古いバージョンのままに見えるケースがあります。そのため、実際には対策済みであるにもかかわらず脆弱性として検出される場合があります。
このようなケースに対応するため、検出された脆弱性に対して「対策済み」や「誤検知」といったステータスを付与し、次回以降の診断で除外できる機能があると、より効率的に運用できると感じています。
一方で、本サービスは継続的に新機能の追加や改善が行われており、毎月のように機能強化が進んでいます。今後、このような運用を支援する機能の追加も期待しています。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

グループ会社を含むインターネット公開資産の脆弱性の管理・把握に活用しています。
近年、IT資産を管理する各部門からセキュリティに関する相談が増えていますが、本サービスの診断レポートは内容が分かりやすく、対策方法も設定レベルまで具体的に記載されています。そのため、各部門への説明や対応方針の検討にかかる負担が大幅に軽減され、大変助かっています。
これまではセキュリティ診断を実施する際、専門業者へ依頼する必要があり、費用負担のため頻繁に実施することが困難でした。しかし、本サービスでは比較的低コストで定期的な診断を実施できるため、継続的な脆弱性管理や監視が可能な点を大きなメリットと感じています。

検討者へお勧めするポイント

診断結果のレポートが分かりやすく、リスクの優先順位や対策方法が具体的に示されるため、各部門への説明や是正対応がスムーズに進められる点を高く評価しています。

改善してほしいポイント

・ASMツールとしては必要十分な機能を保持すると考えるため特段不満はありません。
・製品改善ポイントではないが、より活用できるヒントとしては
CSVファイルをまとめる方法（VBAやPython）を準備しておくとよりよい運用ができるかと思います。
幾つかの情報（CVE情報一覧や検査結果一覧）がCSVファイルで出力できます。
CVEや脆弱性の発生/消滅の時系列変化を視覚的に確認できるようなツールを作ると
環境状態や対処状況についての予想ができるようになり「先手で動ける運用」ができるようになるかと思います。

どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？

・グループ会社・子会社が多く、各々のIT管理の履歴がわからない状態であったが、未知のドメインを多く発見できた。
検討していた他のASMソリューションよりも発見機能は勝ると感じた。
・ASM運用を新たに行うという事は、脆弱性レポートが送られる（現場から見るとわけのわからない仕事が増える）ことなるので、対処方法の相談とかの質問対応等の雑務が増える懸念があったが、レポートの作りによるためか想定よりも質問が少なく、かつ自発的に動いてもらえている感想を持っている。

検討者へお勧めするポイント

脆弱性対策／ASMを行う際に、大きなウエイトをしめるのが「対処者に対処をしてもらう」という事かと考えています。対処者に動いてもらう際に「何をしたらよいのか分かりやすいレポート」を出せる事がポイントで、レポートがわかりやすくないと「なおし方わからん！」と対処方法の質問が来たり「忙しいからやらねぇ！」とかヘソをまげられたりします。
サンプルの脆弱性対策レポートを対処者側にみてもらい「このレポートだけで動けるか？」と感想を聞いてみると導入後の運用がスムースに動くかと思います
（他競合製品よりわかりやすいレポートを出してくれていると思います）