Správa útočné plochy: kompletní průvodce

Správa útočné plochy (ASM) je postup, při kterém najdete vše, co vaše organizace vystavuje na internetu, posoudíte slabiny každého aktiva a sledujete změny. Nejtěžší částí obvykle není samotné posouzení, ale vědět, co vlastníte.

Většina organizací zná svůj hlavní web a produkt. Mnohem méně jich zná každou subdoménu, testovací prostředí, server vytvořený dodavatelem před třemi lety a certifikát, kterému brzy skončí platnost. Útočník to vědět nemusí. Stačí mu jedno slabé místo.

Tento průvodce vysvětluje, co je útočná plocha, co nástroje ASM kontrolují a proč zdroj seznamu aktiv rozhoduje o tom, zda má smysl výsledky číst.

Co je útočná plocha?

Útočná plocha je vše, k čemu se může člověk zvenku dostat a s čím může pracovat, plus vše, co o vás prozrazuje informace. V praxi to znamená domény a subdomény, webové aplikace, API, poštovní servery, otevřené porty a služby za nimi, TLS certifikáty, DNS záznamy a cloudové zdroje s veřejnými endpointy.

Konkrétní příklad

Představte si firmu s osmdesáti lidmi a jedním produktem.

Zná company.com a app.company.com. Její útočná plocha ale zahrnuje také blog.company.com na hostované platformě, do které se nikdo nepřihlásil od odchodu obsahového vedoucího, staging.company.com, který měl být dočasný, vpn.company.com směřující na neaktualizované zařízení, DNS záznam old-crm.company.com ukazující na zrušenou cloudovou službu a poštovní záznamy, které umožní posílat zprávy vypadající jako z této domény.

Nic z toho není neobvyklé. Je to jednoduše výsledek několika let provozu.

Externí versus interní plocha

Správa útočné plochy znamená pohled zvenku - co může veřejný internet vidět a dosáhnout bez přihlašovacích údajů. Je to záměrně pohled útočníka.

Interní aktiva, notebooky zaměstnanců a vše za firemní sítí jsou jiný problém pro jiné nástroje. ASM je nepokrývá; nástroj, který tvrdí opak, často dělá jednu z těchto věcí jen povrchně.

Proč stále roste

Útočná plocha roste potichu běžnou prací:

Shadow IT. Tým si objedná službu a nasměruje na ni subdoménu.
Opuštěná infrastruktura. Projekty skončí, DNS záznamy zůstanou.
Cloudová pružnost. Prostředí vznikají rychle a uklízejí se pomalu.
Akvizice a dodavatelé. Převezmete domény, které jste nevytvořili.
Rychlé nasazování. Více vydání znamená více příležitostí, aby se nastavení ztratilo bez povšimnutí.

Vzniká rozdíl mezi tím, co si organizace myslí, že má, a tím, co skutečně vystavuje. ASM má tuto mezeru uzavřít.

Co je správa útočné plochy?

Správa útočné plochy je průběžné objevování internetových aktiv, posuzování jejich bezpečnosti a sledování změn. Odpovídá na tři otázky v pořadí: co máme, co je na tom špatně a co se změnilo od minula.

Práce se dělí na čtyři kroky:

Objevte. Sestavte inventář internetových aktiv.
Zařaďte. Rozhodněte, která aktiva jsou vaše, která jsou důležitá a kdo je vlastní.
Posuďte. Zkontrolujte slabiny, chybné konfigurace a známé zranitelnosti.
Monitorujte. Kontrolu opakujte podle plánu, protože stav se mezi nasazeními zhoršuje.

První krok je místem, kde je nejvíce hodnoty i téměř všechny obtíže.

Odkud pochází seznam aktiv a proč rozhoduje o všem

Dva nástroje mohou provést stejné kontroly a vytvořit reporty s úplně jinou hodnotou, protože seznam aktiv sestavily jiným způsobem.

Přístup jedna: hádání z internetu

Většina nástrojů ASM začne doménou a odhaduje, co k ní ještě patří. Čte Certificate Transparency, pasivní DNS a veřejná registrační data a používá heuristiky: podobné názvy, sdílené IP adresy a stejnou infrastrukturu.

Najde tak věci, o kterých jste nevěděli, což je užitečné. Vytváří ale dvě předvídatelné chyby:

Aktiva, která nejsou vaše. Sdílený hosting, znovu použitý rozsah IP nebo podobný název přidá infrastrukturu třetí strany.
Aktiva, která nikdy nenajde. Cokoli bez veřejné stopy odpovídající heuristice zůstane neviditelné.

První chyba ničí důvěru. Když inženýr najde v reportu cizí aktiva, začne pochybovat o každém nálezu. Nástroj, kterému se nevěří, se nepoužívá.

Přístup dva: import z vašeho zdroje pravdy

Alternativou je přestat hádat a zeptat se systému, který to už ví. DNS poskytovatel každé organizace má autoritativní seznam zón a záznamů. Totéž platí pro export zónového souboru.

Pokud inventář pochází z vlastního DNS účtu zákazníka, aktivum třetí strany se do něj nedostane. Seznam není nejlepší odhad, ale fakt ze systému záznamu.

Tyto přístupy se doplňují. Import určí základ a objevování najde to, co v něm chybí. Důležité je, aby nástroj ukázal, které je které - abyste věděli, zda aktivum pochází z vašeho záznamu, nebo z přesvědčení nástroje.

Co to znamená v praxi

Při hodnocení nástroje ASM se ptejte:

Mohu importovat aktiva od svého DNS poskytovatele nebo ze zónového souboru?
Ukazuje report, odkud každé aktivum pochází?
Co se stane, když se nástroj splete? Mohu aktivum odstranit a rozhodnutí zůstane?
Ověří nástroj, že doménu skutečně ovládám, než ji začne skenovat?

Poslední otázka je důležitější, než se zdá. Nástroj, který na požádání proskenuje libovolnou doménu, je průzkumná služba, ne bezpečnostní produkt. Důkaz vlastnictví - DNS záznam, soubor na serveru nebo meta tag - je kontrola, která je odlišuje. Postup dokumentujeme pro osm DNS poskytovatelů včetně Cloudflare, AWS Route 53 a Azure DNS.

Co ASM kontroluje, když zná vaše aktiva

Jakmile inventář existuje, posouzení pokrývá několik vrstev. Každá odpovídá na jinou otázku a selhává jiným způsobem.

TLS a konfigurace certifikátů

Zda jsou šifrovaná spojení skutečně bezpečná: které verze protokolů jsou zapnuté, jaké šifry se nabízejí, zda je certifikát platný, správně zřetězený a zda mu brzy neskončí platnost.

Běžnými nálezy jsou staré verze protokolů, certifikáty bez upozornění na expiraci a neúplné řetězce, které selžou jen některým klientům. Co podrobně kontroluje TLS sken.

HTTP bezpečnost a známé zranitelnosti

Zda jsou webové aplikace nastavené obranně a zda software obsahuje známé chyby. Kontrola zahrnuje bezpečnostní hlavičky, zjištěné technologie a porovnání verzí s veřejným seznamem CVE.

CVE je veřejně evidovaná chyba s jedinečným identifikátorem. Porovnání verze se seznamem ukáže, zda používáte známé a zdokumentované slabé místo. Co podrobně kontroluje HTTP sken.

Otevřené porty a vystavené služby

Které síťové porty odpovídají z internetu a co za nimi naslouchá. Web na portu 443 je očekávaný. Databáze, vzdálená plocha nebo administrační rozhraní dostupné odkudkoli nikoli. Co kontroluje sken portů.

DNS konfigurace a podvržení e-mailu

Zda je DNS nastavené bezpečně a zda může někdo posílat e-mail, který vypadá, jako by byl z vaší domény. Kontrola zahrnuje SPF, DKIM a DMARC, MTA-STS a TLS-RPT, DNSSEC a nastavení, které může odhalit celou sadu záznamů.

Chybějící autentizace e-mailu patří mezi nejčastější nálezy a nejsnáze zneužitelné chyby, protože umožňuje přesvědčivý phishing proti zaměstnancům, zákazníkům i dodavatelům. Co kontroluje DNS sken.

Reputace domény

Zda se vaše domény a adresy nacházejí na blocklistech nebo ve feedech threat intelligence. Problémy s reputací se projeví nedoručováním dříve, než někdo začne hledat příčinu.

Subdomény a zapomenuté hosty

Konkrétním rizikem je převzetí subdomény: DNS záznam stále směřuje na cloudovou službu, kterou organizace už nepoužívá. Kdokoli, kdo si nyní nárokuje název služby, může ovládat obsah zobrazovaný pod vaší subdoménou, vaším jménem a často i certifikátem.

ASM, správa zranitelností a penetrační testování

Tyto pojmy se často zaměňují, ale odpovídají na různé otázky:

	Otázka	Rozsah	Frekvence
Správa útočné plochy	Co vystavujeme a je to slabé?	Internet, bez autentizace	Průběžně nebo podle plánu
Správa zranitelností	Jaké známé chyby jsou v našem prostředí?	Interní i externí, často s autentizací	Podle plánu
Penetrační testování	Dokáže se zkušený útočník skutečně dostat dovnitř?	Předem dohodnutý rozsah	Pravidelně, obvykle ročně

ASM je nejširší a nejméně hluboké. Penetrační test je nejužší a nejhlubší. Správa zranitelností je mezi nimi a často předpokládá, že už víte, co vlastníte - právě tento předpoklad má ASM odstranit.

Nejsou to náhrady. ASM penetračnímu testerovi řekne, kde hledat.

EASM, CAASM a další zkratky

Tato kategorie nasbírala čtyři zkratky, které se používají, jako by byly zaměnitelné. Nejsou; rozdíl je především ve zdroji dat.

EASM - external attack surface management. Pohled zvenku bez přihlašovacích údajů: co může dosáhnout veřejný internet. Je to obsah tohoto průvodce a to, co dělá AYAsec.

CAASM - cyber asset attack surface management. Sestavuje inventář z nástrojů, které už provozujete - endpoint agentů, cloudových účtů, poskytovatelů identity a CMDB - přes jejich API. Vidí mnohem více než vnější sken, ale pouze tam, kde už nástroj existuje a hlásí. Host, o kterém mu nikdo neřekl, neuvidí.

DRPS - digital risk protection services. Sleduje dění mimo vaši infrastrukturu: uniklé údaje, podobné domény registrované pro vydávání se za vás a váš brand na nesprávném místě.

CTEM - continuous threat exposure management. Není to kategorie produktu, ale model programu - scope, discover, prioritize, validate, mobilize. Nástroje výše jsou věci, které v něm použijete.

Stručně: EASM najde, co jste nevěděli, že vystavujete, CAASM uspořádá, co už znáte, a DRPS sleduje, co s vaším jménem dělají jiní. Menší organizace obvykle začínají pohledem zvenku, protože právě tam jsou zapomenutá aktiva.

Jak spustit první sken útočné plochy

Bez ohledu na použitý nástroj je postup stejný.

1. Začněte jednou doménou. Primární doménou, ne celým prostředím. Chcete výsledek dnes, ne projekt.

2. Prokažte vlastnictví. Důvěryhodný nástroj si před skenem vyžádá DNS TXT záznam, soubor na známé cestě nebo meta tag na domovské stránce.

3. Nechte proběhnout objevování. Dostanete seznam subdomén a souvisejících hostů. Nejprve si přečtěte seznam; prvním překvapením bývá zapomenuté aktivum, ne zranitelnost.

4. Seskupte, co je důležité. Oddělte produkci od experimentů.

5. Čtěte nálezy podle závažnosti, ne podle počtu. Třicet varování s nízkou závažností je méně důležitých než jedna databáze dostupná z internetu.

6. Nastavte plán. Jeden sken je snímek. Hodnota je v porovnání mezi skeny.

V AYAsec to znamená nejprve Discovery na doméně a potom sken aktiv, která si ponecháte. Aktiva lze importovat přímo z Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner nebo Contabo nebo ze zónového souboru. Dokumentace vede krok za krokem.

Každý typ skenu je součástí každého plánu včetně bezplatného. Spusťte první sken

Běžné nálezy a jejich význam

Riziko převzetí subdomény. DNS záznam míří na nepoužívanou službu. Závažnost: vysoká. Oprava: odstraňte záznam.

Povolené zastaralé verze TLS. Staré verze zůstávají kvůli kompatibilitě. Závažnost: střední. Oprava: změňte konfiguraci serveru.

Chybějící nebo chybně nastavený DMARC. Bez něj může kdokoli posílat e-mail vypadající jako z vaší domény. Závažnost: vysoká. Oprava: publikujte záznam nejprve v monitorovacím režimu.

Administrační služba vystavená na internetu. Vzdálená plocha, databázový port nebo konzole. Závažnost: kritická. Oprava: omezte přístup IP adresami nebo VPN.

Certifikát blízko expirace. Není to zranitelnost, ale předvídatelný výpadek, kterému lze předejít.

Jak často skenovat?

Bezpečnostní stav se potichu zhoršuje. Při nasazení zmizí hlavička, certifikát se přiblíží expiraci nebo se kvůli kompatibilitě znovu zapne protokol.

Proto jednorázové posouzení rychle stárne. U stabilního prostředí je rozumný základ týdenní sken, při častém vydávání denní. Důležitější než interval je, aby někdo dostal upozornění při poklesu známky a nemusel výsledek hledat. Podívejte se, jak vytvořit důkazní stopu nápravy.

Kde se to objevuje v regulaci EU

Dva právní předpisy EU různými slovy říkají, že musíte vědět, co provozujete.

NIS2 (směrnice (EU) 2022/2555) vyžaduje řízení rizik včetně řešení zranitelností a bezpečnosti dodavatelského řetězce. Ani jedno není možné pro host, který nikde není zapsán.

DORA (nařízení (EU) 2022/2554) platí pro finanční subjekty od 17. ledna 2025. Článek 8 vyžaduje identifikovat, klasifikovat a dokumentovat informační a ICT aktiva, zmapovat kritická aktiva a dokumentaci alespoň jednou ročně přezkoumat.

Porovnejte to se zdrojem seznamu aktiv. Inventář sestavený odhadem se obhajuje těžko, protože neumíte vysvětlit každý řádek. Inventář z DNS zóny, kterou ovládáte, vysvětlit lze.

Co to neznamená. AYAsec není nástroj pro compliance a nevydává atestaci. Žádný skener vás neučiní v souladu se zákonem. Výsledkem je datovaný důkaz o tom, co bylo vystavené a v jakém stavu - přesně to, na co se auditor ptá.

Často kladené otázky

Je správa útočné plochy totéž co EASM?

EASM je přesnější název pro pohled pouze zvenku. Většina nástrojů prodávaných jako ASM je v praxi EASM.

Potřebujeme to, pokud už používáme skenování zranitelností?

Skenování zranitelností říká něco o aktivech, na která ho nasměrujete. ASM říká, která aktiva existují. Pokud je inventář neúplný, neúplné je i skenování.

Jak dlouho trvá první výsledek?

Objevování jedné domény obvykle trvá minuty. Pomalejší bývá kontrola vlastnictví, protože závisí na správci DNS.

Rozbije sken něco?

Externí posouzení je převážně pasivní nebo má malý vliv. Aktivní testování webové aplikace je výjimka a má se spouštět záměrně jen proti vlastním systémům.

Můžeme skenovat doménu, kterou nevlastníme?

Ne. Ověření vlastnictví je vlastnost, ne překážka.