攻撃対象領域
攻撃者がシステムに入り込める可能性のある点の総和。開いているポート、APIエンドポイント、ログインページ、依存ライブラリ、従業員も含む。攻撃対象領域の縮小（attack surface reduction）はセキュリティの基本原則で、露出が少ないほど攻撃は難しくなる。
含まれるのは、ネットワークサービスと開放ポート、Webインターフェースと API、認証の入口、サードパーティの依存（ライブラリの脆弱性もあなたの攻撃対象領域だ）、クラウドリソース、さらには人（フィッシングの標的）まで。原則は、必要ないのに公開している機能・サービス・アクセスは不要なリスクであり、止める、取り除く、制限する、というものだ。
具体的には、未使用ポートを閉じ、不要な機能やパッケージを削除し、誰が何に届くかを絞り（ネットワーク分割、最小権限）、コードの依存を減らす。攻撃対象領域管理（ASM）は、外部に露出した範囲を継続的に洗い出して監視する分野で、思っているより広いことが多い（忘れられたサーバー、シャドーIT）。多層防御や最小権限と密接に結び付き、堅牢化における中心的な考え方である。