إدارة سطح الهجوم: الدليل الكامل
إدارة سطح الهجوم (ASM) هي ممارسة العثور على كل ما تعرضه مؤسستك للإنترنت، وتقييم نقاط الضعف في كل من هذه الأشياء، ومراقبتها من أجل التغيير. نادرًا ما يكون الجزء الصعب هو التقييم. إنها معرفة ما لديك.
يمكن لمعظم المنظمات تسمية موقعها الإلكتروني الرئيسي ومنتجاتها. عدد أقل بكثير يمكنه تسمية كل نطاق فرعي، وكل بيئة مرحلية، وكلخادم المقاول نشأ منذ ثلاث سنوات، وكل شهادة على وشك الانتهاء. المهاجمون لا يحتاجون أن تعرفوا. إنهم يحتاجون فقط إلى واحد منهم ليكون ضعيفًا.
يشرح هذا الدليل ماهية سطح الهجوم، وما هي أدوات ASM التي تتحقق منها فعليًا، ولماذا يقرر مصدر قائمة الأصول الخاصة بك ما إذا كان أي منها يستحق القراءة.
ما هو سطح الهجوم؟
سطح الهجوم الخاص بك هو كل ما يمكن لأي شخص خارجي الوصول إليه والتفاعل معهكل ما يكشف معلومات عنك. من الناحية العملية، يعني ذلك النطاقات والمجالات الفرعية، وتطبيقات الويب، وواجهات برمجة التطبيقات، وخوادم البريد، والمنافذ المفتوحة والخدمات التي تقف خلفها، وشهادات TLS، وسجلات DNS، والموارد السحابية ذات نقاط النهاية العامة.
مثال ملموس
خذ على سبيل المثال شركة مكونة من ثمانين شخصًا لديهم منتج واحد.
إنهم يعرفون شيئًا عن company.com وapp.company.com. يتضمن سطح الهجوم الخاص بهم أيضًا blog.company.com على موقع مستضافالنظام الأساسي الذي لم يسجل أحد الدخول إليه منذ مغادرة العميل المحتمل للمحتوى، staging.company.com والذي كان من المفترض أن يكون مؤقتًا، vpn.company.com يشير إلى جهاز توقف عن تلقي التحديثات، وسجل DNS لـ old-crm.company.com يشير إلى خدمة سحابية ألغتها الشركة، وسجلات البريد التي تسمح لأي شخص بإرسال بريد إلكتروني يبدو أنه قادم من النطاق.
لا شيء من هذا غير عادي. إنه ببساطة ما يحدث عندما تعمل منظمة ما لصالحسنوات قليلة.
الخارجية مقابل الداخلية
إدارة سطح الهجوم تعني الرؤية من الخارج - ما يمكن لشخص ما على الإنترنت العام رؤيته والوصول إليه دون بيانات اعتماد. هذا هو عمدا وجهة نظر المهاجم.
تعد الأصول الداخلية وأجهزة الكمبيوتر المحمولة للموظفين وأي شيء خلف شبكة الشركة مشكلة مختلفة يتم التعامل معها بواسطة أدوات مختلفة. ASM لا يغطيهما، والأداة التي تدعي القيام بالأمرين معًا عادة ما تقوم بواحد منهما بشكل سطحي.
لماذايستمر في النمو
تنمو أسطح الهجوم بهدوء من خلال العمل العادي:
- Shadow IT. يقوم فريق بالاشتراك في إحدى الخدمات وتوجيه نطاق فرعي إليها.
- البنية التحتية المهجورة. انتهاء المشاريع؛ سجلات DNS تعمر أكثر منها.
- مرونة السحابة. يتم إنشاء البيئات بسرعة ويتم تنظيفها ببطء.
- عمليات الاستحواذ والمقاولين. أنت ترث النطاقات التي لم تقم بإنشائها.
- نشر أسرع. المزيد من الإصدارات يعني المزيد من فرص الإعداديتم إسقاطها دون أن يلاحظ أحد.
والنتيجة هي فجوة بين ما تعتقد المنظمة أنها تمتلكه وما تكشفه بالفعل. ASM موجود لسد هذه الفجوة.
ما هي إدارة سطح الهجوم؟
إدارة سطح الهجوم هي عملية مستمرة لاكتشاف الأصول التي تواجه الإنترنت، وتقييم أمانها، ومراقبتها من أجل التغيير. وهي تجيب على ثلاثة أسئلة بالترتيب: ما الذي لدينا، وما هو الخطأ فيه، وما الذي تغير؟منذ آخر مرة.
ينقسم العمل إلى أربع خطوات:
- الاكتشاف. أنشئ مخزونًا من الأصول التي تواجه الإنترنت.
- المخزون. قرر أي منها يخصك، وما يهم، ومن يملكها.
- التقييم. تحقق من نقاط الضعف والتكوينات الخاطئة ونقاط الضعف المعروفة في كل أصل.
- المراقبة. أعد التحقق من الجدول الزمني، لأن الوضعية تتدهور بين عمليات النشر.
الخطوة الأولى هي حيث معظم القيمة وتقريبا كل الصعوبةيعيش.
من أين تأتي قائمة الأصول، ولماذا تقرر كل شيء
يمكن لأداتين إجراء فحوصات متطابقة وإنتاج تقارير ذات قيمة مختلفة تمامًا، لأنهما أنشأتا قوائم الأصول الخاصة بهما بطرق مختلفة.
النهج الأول: التخمين من الإنترنت
تبدأ معظم أدوات ASM بمجال وتستنتج ما يخصك أيضًا. يقرأون سجلات شفافية الشهادات، وسجلات DNS السلبية، وبيانات التسجيل العامة، ثم يطبقون الاستدلال: مشابهالأسماء وعناوين IP المشتركة والبنية التحتية المطابقة.
يؤدي هذا إلى العثور على أشياء لم تكن تعرفها، وهو أمر مفيد حقًا. كما أنه ينتج وضعين للفشل يمكن التنبؤ بهما:
- الأصول التي ليست ملكك. الاستضافة المشتركة، أو نطاق IP المعاد استخدامه، أو اسم مشابه يسحب البنية التحتية لطرف ثالث. يحتوي تقريرك الآن على نتائج حول خوادم شخص آخر.
- الأصول التي لا يعثر عليها أبدًا. أي شيء لا يترك أثرًا عامًا مطابقًا لـالاستدلال يبقى غير مرئي.
وضع الفشل الأول هو الذي يقتل التبني. بمجرد أن يجد المهندس أصولًا أجنبية في التقرير، تصبح كل نتيجة مشبوهة، ويتم تجاهل الأداة غير الموثوق بها. وهذا هو السبب الشائع وراء تخلي الفرق عن منصات ASM.
النهج الثاني: الاستيراد من مصدر الحقيقة الخاص بك
والبديل هو التوقف عن التخمين وسؤال النظام الذي يعرف بالفعل. يمتلك مزود DNS لكل مؤسسةقائمة رسمية لمناطقها وسجلاتها. وكذلك الحال مع تصدير ملف المنطقة.
إذا كان المخزون يأتي من حساب DNS الخاص بالعميل، فلا يمكن أن تظهر أصول الطرف الثالث فيه. القائمة ليست أفضل تخمين؛ إنها حقيقة مأخوذة من نظام التسجيل. والطريقتان متكاملتان وليستا متعارضتين. إن الاستيراد يؤسس الحقيقة الأساسية، والاكتشاف يجد ما هو مفقود منها. ما يهم هو أن الأداة تخبرك بما هو موجود - حتى تعرف ما إذا كان أصل معين هو شيء أعلنت عنه أو شيء تعتقد الأداة أنه ملكك.
ماذا يعني ذلك عمليا
عند تقييم أي أداة من أدوات ASM، اسأل:
- هل يمكنني استيراد الأصول من DNS الخاص بيمزود أو ملف منطقة، أم أنه يستنتج منهم فقط؟
- هل يوضح لي التقرير مصدر كل أصل؟
- ماذا يحدث عندما يكون خطأ؟ هل يمكنني إزالة أحد الأصول والالتزام بهذا القرار؟
- هل تتحقق الأداة من أنني أتحكم فعليًا في النطاق قبل مسحه؟
هذا السؤال الأخير يهم أكثر مما يبدو للوهلة الأولى. الأداة التي ستقوم بفحص أي نطاق عند الطلب هي خدمة استطلاع لمن يسأل، وليست منتجًا أمنيًا. تتطلب إثباتاالملكية - سجل DNS، وملف على الخادم، وعلامة التعريف - هي عنصر التحكم الذي يفصل بين الاثنين. لقد قمنا بتوثيق هذه العملية خطوة بخطوة لثمانية من موفري DNS، بما في ذلك Cloudflare، وAWS Route 53، وAzure DNS.
ما الذي تتحقق منه ASM بمجرد معرفتها لأصولك
مرة واحدةالمخزون موجود، والتقييم يغطي عدة طبقات. كل يجيب على سؤال مختلف ويفشل بطريقة مختلفة.
تكوين TLS والشهادة
ما إذا كانت الاتصالات المشفرة آمنة بالفعل: ما هي إصدارات البروتوكول التي تم تمكينها، وما هي مجموعات التشفير المقدمة، وما إذا كانت الشهادة صالحة، ومتسلسلة بشكل صحيح، وليست على وشك الانتهاء. النتائج الشائعة هي إصدارات البروتوكول القديمة التي تم تركها ممكّنة، وانتهاء صلاحية الشهادات دون سابق إنذار، وسلاسل الشهادات غير المكتملة التي تنقطع عن بعض العملاء دون الآخرين. ما يبحث عنه فحص TLS بالتفصيل.
أمان HTTP ونقاط الضعف المعروفة
ما إذا كانت تطبيقات الويب قد تم تكوينها بشكل دفاعي، وما إذا كان البرنامج الذي يقوم بتشغيلها به عيوب معروفة. يغطي هذا رؤوس الأمان والتقنيات المكتشفة في كل منهاالمضيف، ومطابقة تلك التقنيات والإصدارات ضد نقاط الضعف المنشورة - قائمة CVE.
إن CVE عبارة عن ثغرة أمنية مفهرسة بشكل عام ولها معرف فريد. إن مطابقة إصدارات برنامجك مع هذا الكتالوج تخبرك ما إذا كنت تقوم بتشغيل شيء به نقطة ضعف معروفة وموثقة. ما يبحث عنه فحص HTTP بالتفصيل.
المنافذ المفتوحة والخدمات المكشوفة
ما هي منافذ الشبكة التي تجيب منالإنترنت وما يستمع وراءهم. من المتوقع وجود خادم ويب على المنفذ 443. قاعدة البيانات أو خدمة سطح المكتب البعيد أو الواجهة الإدارية التي يمكن الوصول إليها من أي مكان ليست كذلك. ما يبحث عنه فحص المنفذ بالتفصيل.
تكوين DNS وانتحال البريد الإلكتروني
ما إذا كان قد تم تكوين DNS بشكل آمن، وما إذا كان بإمكان أي شخص إرسال بريد إلكتروني يبدو أنه قادم من المجال الخاص بك. يغطي هذا سجلات SPF وDKIM وDMARC لـمصادقة البريد، وMTA-STS، وTLS-RPT لأمان نقل البريد، وDNSSEC لتكامل DNS، والتكوين الذي قد يؤدي إلى تسريب مجموعة السجلات الكاملة الخاصة بك.
يعد فقدان مصادقة البريد الإلكتروني من بين النتائج الأكثر شيوعًا ومن الأسهل استغلالها، لأنه يتيح التصيد الاحتيالي المقنع ضد موظفيك وعملائك ومورديك. ما يبحث عنه فحص DNS بالتفصيل.
سمعة المجال
ما إذا كانت نطاقاتك وعناوينك تظهر في قوائم الحظر أو في خلاصات معلومات التهديدات. تظهر مشاكل السمعة على شكل فشل في قابلية التسليم قبل فترة طويلة من قيام أي شخص بالتحقيق في السبب.
النطاقات الفرعية والمضيفين المنسيين
وبعيدًا عن التعداد، فإن الخطر المحدد هنا هو الاستيلاء على النطاق الفرعي: لا يزال سجل DNS يشير إلى خدمة سحابية لم تعد المؤسسة تستخدمها. أي شخص يدعي اسم الخدمة هذا يتحكم الآن في المحتوى المقدم من موقعكالنطاق الفرعي، مع اسمك وغالبًا شهادتك.
ASM وإدارة الثغرات الأمنية واختبار الاختراق
يتم الخلط بين هذه باستمرار. يجيبون على أسئلة مختلفة:
| سؤال يجيب | النطاق | الإيقاع | |
|---|---|---|---|
| إدارة سطح الهجوم | ماذا نكشف وهل هو ضعيف؟ | مواجهة للإنترنت، غير مصادقة | مستمر أو مجدول |
| إدارة الثغرات الأمنية | ما هي العيوب المعروفة الموجودة في عقاراتنا؟ | داخلية وخارجية، وغالباً ما يتم التصديق عليها | مجدولة |
| اختبار الاختراق | هل يمكن لمهاجم ماهر الدخول فعلاً؟ | النطاق المتفق عليه مسبقًا | دورية، وعادة ما تكون سنوية |
ASM هو الأوسع والأعمق. اختبار الاختراق هوالأضيق والأعمق. تقع إدارة الثغرات الأمنية بينهما وعادة ما تفترض أنك تعرف بالفعل ما تملكه - وهو الافتراض أن ASM موجود لمنعك من صنعه.
إنهم ليسوا بدائل. ASM يخبر البنستر أين يبحث.
EASM وCAASM والمختصرات الأخرى
جمعت هذه الفئة أربعة اختصارات يتم استخدامها كما لو كانت كذلك قابلة للتبديل. إنهم ليسوا كذلك، والفرق هو في الغالب حول مكان تأتي البياناتمن.
EASM - إدارة سطح الهجوم الخارجي. المنظر من الخارج، بدون بيانات الاعتماد: ما يمكن لأي شخص الوصول إليه على الإنترنت العام. هذا ما هذا يصف الدليل، وهذا ما يفعله AYAsec.
CAASM - إدارة سطح الهجوم على الأصول السيبرانية. يبني مخزونًا واحدًا بحلول سحب بيانات الأصول من الأدوات التي تقوم بتشغيلها بالفعل - وكلاء نقطة النهاية، والسحابة الحسابات وموفري الهوية وCMDB - من خلال واجهات برمجة التطبيقات الخاصة بهم. يرى أكثر من ذلك بكثير منالفحص من الخارج إلى الداخل، ويتضمن الأصول الداخلية، ولكن فقط في حالة وجود الأداة مثبتة بالفعل وإعداد التقارير. لا يمكنه رؤية المضيف الذي لم يخبره أحد عنه.
DRPS - خدمات الحماية من المخاطر الرقمية. راقب ما يحدث خارج نطاقك البنية التحتية: بيانات الاعتماد المسربة، والنطاقات المشابهة المسجلة لانتحال الشخصية أنت، علامتك التجارية تظهر حيث لا ينبغي لها ذلك.
CTEM - إدارة التعرض المستمر للتهديدات. ليست فئة منتج في الجميع. إنه نموذج برنامج - النطاق، والاكتشاف، وتحديد الأولويات، والتحقق من الصحة، والتعبئة - والأدوات المذكورة أعلاه هي الأشياء التي ستستخدمها بداخله. بائع يبيعك "منصة CTEM" تبيع لك جزءًا منها.
النسخة القصيرة: EASM تعثر على ما لم تكن تعلم أنك قمت بالكشف عنه، CAASM ينظم ما تعرف أنك تمتلكه بالفعل، ويراقب DRPS ما يفعله الآخرون مع اسمك. ينتهي الأمر بالمؤسسات الأكبر حجمًا إلى تشغيل أكثر من واحدة. أصغر منها تبدأ عادةمع المنظر الخارجي، لأن هذا هو المكان الذي لا يوجد فيه أحد يتذكر هي.
كيفية إجراء أول فحص لسطح الهجوم
بغض النظر عن الأداة التي تستخدمها، فإن التسلسل هو نفسه.
1. ابدأ بنطاق واحد. نطاقك الأساسي، وليس ملكية كاملة. تريد نتيجة اليوم، وليس مشروعا.
2. أثبت ملكيتك لها. ستطلب أي أداة موثوقة إثباتًا قبل إجراء المسح - عادةً ما يكون سجل DNS TXT، أو ملفًا في مسار معروف، أو علامة تعريفية علىالصفحة الرئيسية. توقع أن تستغرق هذه الخطوة وقتًا أطول، لأنها غالبًا ما تعني سؤال الشخص الذي يدير DNS.
3. دع الاكتشاف يعمل. سوف تحصل على قائمة بالنطاقات الفرعية والمضيفين ذوي الصلة. اقرأها قبل أي شيء آخر. المفاجأة الحقيقية الأولى لمعظم الفرق ليست نقطة الضعف؛ إنه أحد الأصول التي نسوها.
4. قم بتجميع ما يهم. ليس كل ما تجده يستحق نفس القدر من الاهتمام. فصل الإنتاج عن التجارب.
5. المسح والقراءةالنتائج حسب الخطورة، وليس حسب العدد. ثلاثون تحذيرًا من رؤوس منخفضة الخطورة لها أهمية أقل من قاعدة بيانات مكشوفة واحدة.
6. ضعها في جدول زمني. المسح الضوئي الواحد هو لقطة. القيمة في المقارنة بين عمليات الفحص.
يختلف الشكل الذي يبدو عليه هذا الأمر يومًا بعد يوم حسب الفريق: راجع فرق الأمان ومقدمي الخدمات المُدارة.
في AYAsec، يتم تشغيل هذا كاكتشاف على المجال، ثم فحص الأصول التي تحتفظ بها. يمكن أيضًا استيراد الأصول مباشرةً من Cloudflare أو AWS Route 53 أو Azure DNS أو Google Cloud DNS أو DigitalOcean أو GoDaddy أو Hetzner أو Contabo، أو من ملف منطقة تم تحميله. سير العمل الموجه هو خطوة بخطوة في المستندات.
يتم تضمين كل نوع فحص في كل خطة، بما في ذلكواحدة مجانية. قم بإجراء الفحص الأول
النتائج الشائعة وماذا تعني
تمثل نفس مجموعة المشكلات معظم ما يظهر في الفحص الأول.
خطر الاستيلاء على النطاق الفرعي. سجل DNS يشير إلى خدمة لم تعد تستخدمها. الشدة: عالية. إصلاح عن طريق إزالة السجل.
تم تمكين إصدارات بروتوكول TLS القديمة. تظل الإصدارات القديمة للتوافق ونادرًا ما تكون هناك حاجة إليها. الشدة: متوسطة، وفإنه يسحب إلى أسفل كل نظام الدرجات. إصلاح في تكوين الخادم.
DMARC مفقود أو تمت تهيئته بشكل خاطئ. وبدونه، يمكن لأي شخص إرسال بريد يبدو أنه قادم من نطاقك. الخطورة: عالية، وهي مخاطرة تنظيمية وليست فنية. تم الإصلاح عن طريق نشر السجل، بدءًا من وضع المراقبة.
خدمة إدارية متاحة للإنترنت. سطح المكتب البعيد، ومنفذ قاعدة البيانات، ووحدة التحكم الإدارية. الخطورة: حرجة. يقيدعن طريق عنوان IP أو وضعه خلف VPN.
شهادة تقترب من انتهاء الصلاحية. ليست ثغرة أمنية، ولكنها انقطاع ذاتي في تاريخ يمكن التنبؤ به.
كم مرة يجب إجراء المسح؟
الوضع الأمني يتدهور بهدوء. يختفي الرأس أثناء النشر. الشهادة تقترب من انتهاء الصلاحية. تتم إعادة تمكين البروتوكول لإصلاح شكوى التوافق. لم يتم الإعلان عن أي منها، ولم يكسر أي منها أي شيء بشكل واضح. هذا التآكل التدريجي هو السبب وراء تقدم التقييم الذي يتم لمرة واحدة بشكل سيئ. تعتمد الإجابة العملية على عدد مرات النشر: إعادة المسح الأسبوعي هو خط أساس معقول لعقار مستقر، ويكون يوميًا مناسبًا عندما تقوم بالشحن كثيرًا، وما يهم أكثر من الفاصل الزمني هو يتم إخبار شخص ما عندما تنخفض الدرجة بدلاً من الاضطرار إلى الذهاب والبحث. اطلع على كيفية إنشاء مسار أدلة العلاج.
أين يظهر هذاتنظيم الاتحاد الأوروبي
ينص الآن نصان من قانون الاتحاد الأوروبي، بكلمات مختلفة، على أنه يتعين عليك أن تعرف ماذا قمت بتشغيل.
NIS2 (التوجيه (الاتحاد الأوروبي) 2022/2555) كان لا بد من كتابته في القانون الوطني بحلول 17 أكتوبر 2024. وتسرد المادة 21 ما يلي: تدابير إدارة المخاطر التي يتعين على الكيانات الأساسية والمهمة اتخاذها، ومن بينها معالجة الثغرات الأمنية وأمن سلسلة التوريد. ولا هو كذلك ممكن لمضيف لا أحدلقد كتب.
DORA (اللائحة (الاتحاد الأوروبي) 2022/2554) تم تطبيقه منذ 17 يناير 2025 على البنوك وشركات التأمين وشركات الاستثمار والشركات مؤسسات الدفع العاملة في الاتحاد الأوروبي. المادة 8 أكثر مباشرة: المالية يجب على الكيانات تحديد وتصنيف وتوثيق معلوماتها وأصول تكنولوجيا المعلومات والاتصالات الخاصة بها، قم بتعيين العناصر المهمة بما في ذلك تكوينها وتبعياتها، و قم بمراجعة تلك الوثائق علىعلى الأقل مرة واحدة في السنة.
اقرأ هذا المتطلب مقابل القسم السابق حول مصدر قائمة الأصول من. إن المخزون الذي يتم تجميعه عن طريق الاستدلال هو مستند لا يمكنك الدفاع عن إدخاله عن طريق الإدخال، لأنه لا يمكنك تحديد سبب وجود كل سطر فيه أو من الذي قرر وجوده لك. يمكن شرح المخزون المأخوذ من منطقة DNS التي تتحكم فيها شخص يسأل.
ما لا يعنيه هذا. AYAsec ليست أداة امتثال ولا تفعل ذلك إنتاج شهادة. لا يوجد ماسح ضوئي يجعلك ممتثلاً لأي من القانونين، و البائع الذي يشير إلى خلاف ذلك يبيع لك شيئًا ما. ما ينتج عن المسح هو دليل مؤرخ على ما تم كشفه والحالة التي كان عليها - نوع الشيء يسأل عنه المدقق، ونوع الشيء الذي يكون تجميعه يدويًا أمرًا مملاً.
الأسئلة المتداولة
هل إدارة سطح الهجوم هي نفس إدارة EASM؟
EASM - إدارة سطح الهجوم الخارجي - هي الحلمصطلح أكثر دقة للعرض الخارجي فقط. من الناحية العملية، فإن معظم الأدوات التي يتم تسويقها على أنها ASM هي EASM. إذا كان البائع يعني شيئًا أوسع نطاقًا، فيجب أن يقول ذلك.
هل نحتاج إلى ذلك إذا قمنا بالفعل بتشغيل فحص الثغرات الأمنية؟
يخبرك فحص الثغرات الأمنية بوجود عيوب في الأصول التي تشير إليها. يخبرك ASM بالأصول الموجودة. إذا كان مخزونك غير مكتمل، فكذلك المسح الضوئي الخاص بك.
كم من الوقت يستغرق الحصول على النتيجة الأولى؟
اكتشاف على أمجال واحد عادة ما يكون دقائق. الجزء البطيء هو إثبات ملكية النطاق، لأنه عادةً ما يعتمد على شخص آخر.
هل سيؤدي المسح إلى كسر أي شيء؟
التقييم الخارجي سلبي في الغالب أو ذو تأثير منخفض. يعد اختبار تطبيقات الويب النشط هو الاستثناء ويجب إجراؤه بشكل متعمد، مقابل الأنظمة التي تمتلكها، ومن الأفضل أن يتم ذلك خارج ساعات الذروة.
هل يمكننا فحص نطاق لا نملكه؟
لا، ويجب أن تكون متشككًا في أي أداة تسمح بذلكأنت. التحقق من الملكية هو ميزة، وليس عائقا.