Gestión de la superficie de ataque: la guía completa
La gestión de la superficie de ataque (ASM) es la práctica de encontrar todo lo que su organización expone a Internet, evaluar cada uno de esos puntos en busca de debilidades y observarlos en busca de cambios. La parte difícil rara vez es la evaluación. Es saber lo que tienes.
La mayoría de las organizaciones pueden nombrar su sitio web principal y su producto. Son muchos menos los que pueden nombrar cada subdominio, cada entorno de ensayo, cadaservidor que un contratista creó hace tres años y todos los certificados que están a punto de caducar. Los atacantes no necesitan que usted lo sepa. Sólo necesitan que uno de esos sea débil.
Esta guía explica qué es una superficie de ataque, qué verifican realmente las herramientas ASM y por qué la fuente de su lista de activos decide si vale la pena leer algo.
¿Qué es una superficie de ataque?
Tu superficie de ataque es todo lo que un extraño puede alcanzar e interactuar, ademástodo lo que revele información sobre ti. En la práctica, eso significa dominios y subdominios, aplicaciones web, API, servidores de correo, puertos abiertos y los servicios detrás de ellos, certificados TLS, registros DNS y recursos en la nube con puntos finales públicos.
Un ejemplo concreto
Tomemos como ejemplo una empresa de ochenta personas con un solo producto.
Saben sobre company.com y app.company.com. Su superficie de ataque también incluye blog.company.com en un servidor alojadoplataforma en la que nadie ha iniciado sesión desde que se fue el cliente potencial, staging.company.com que debía ser temporal, vpn.company.com apunta a un dispositivo que dejó de recibir actualizaciones, un registro DNS para old-crm.company.com que apunta a un servicio en la nube que la empresa canceló y registros de correo que permiten a cualquiera enviar correos electrónicos que parecen provenir del dominio.
Nada de eso es inusual. Es simplemente lo que sucede cuando una organización opera para unpocos años.
Externo versus interno
La gestión de la superficie de ataque significa la vista desde el exterior: lo que alguien en la Internet pública puede ver y alcanzar sin credenciales. Es deliberadamente la perspectiva del atacante.
Los activos internos, las computadoras portátiles de los empleados y cualquier cosa detrás de la red corporativa son problemas diferentes que se manejan con diferentes herramientas. La MAPE no los cubre, y una herramienta que afirma hacer ambas cosas generalmente hace uno de ellos de manera superficial.
¿Por qué?sigue creciendo
Las superficies de ataque crecen silenciosamente, mediante el trabajo ordinario:
- Shadow IT. Un equipo se registra en un servicio y le asigna un subdominio.
- Infraestructura abandonada. Fin de proyectos; Los registros DNS los sobreviven.
- Elasticidad de la nube. Los entornos se crean rápidamente y se limpian lentamente.
- Adquisiciones y contratistas. Heredas dominios que no creaste.
- Implementación más rápida. Más lanzamientos significan más posibilidades de que una configuración funcione.caer sin que nadie se dé cuenta.
El resultado es una brecha entre lo que una organización cree que tiene y lo que realmente expone. La MAPE existe para cerrar esa brecha.
¿Qué es la gestión de la superficie de ataque?
La gestión de la superficie de ataque es el proceso continuo de descubrir activos conectados a Internet, evaluar su seguridad y monitorearlos para detectar cambios. Responde tres preguntas en orden: qué tenemos, qué tiene de malo y qué cambió.desde la última vez.
El trabajo se divide en cuatro pasos:
- Descubrir. Cree el inventario de activos orientados a Internet.
- Inventario. Decide cuáles son tuyos, cuáles importan y quién es el propietario.
- Evaluar. Verifique cada activo en busca de debilidades, configuraciones incorrectas y vulnerabilidades conocidas.
- Monitorear. Vuelva a verificar según un cronograma, porque la postura se degrada entre implementaciones.
El primer paso es donde se concentra la mayor parte del valor y casi toda la dificultad.vivir.
De dónde viene la lista de activos y por qué decide todo
Dos herramientas pueden ejecutar comprobaciones idénticas y producir informes de valor completamente diferente, porque construyeron sus listas de activos de diferentes maneras.
Enfoque uno: adivinar desde Internet
La mayoría de las herramientas ASM comienzan con un dominio e infieren qué más le pertenece. Leen registros de transparencia de certificados, registros DNS pasivos y datos de registro público y luego aplican heurísticas: similaresnombres, direcciones IP compartidas, infraestructura coincidente.
Esto encuentra cosas que no sabías, lo cual es realmente útil. También produce dos modos de falla predecibles:
- Activos que no son suyos. El alojamiento compartido, un rango de IP reutilizado o un nombre similar recurren a la infraestructura de un tercero. Su informe ahora contiene hallazgos sobre los servidores de otra persona.
- Activos que nunca encuentra. Cualquier cosa que no deje un rastro público que coincida con ella heurística permanece invisible.
El primer modo de fracaso es el que acaba con la adopción. Una vez que un ingeniero encuentra activos extraños en un informe, cada hallazgo se vuelve sospechoso y se ignora una herramienta en la que no se confía. Es una razón comúnmente citada por la que los equipos abandonan las plataformas ASM.
Enfoque dos: importar desde su fuente de verdad
La alternativa es dejar de adivinar y preguntarle al sistema que ya lo sabe. El proveedor de DNS de cada organización tiene unlista autorizada de sus zonas y registros. Lo mismo ocurre con la exportación de un archivo de zona.
Si el inventario proviene de la cuenta DNS del propio cliente, el activo de un tercero no puede aparecer en él. La lista no es la mejor suposición; es un hecho, tomado del sistema de registro. Los dos enfoques son complementarios y no opuestos. La importación establece la verdad fundamental y el descubrimiento encuentra lo que falta en ella. Lo que importa es que la herramienta le diga cuál es cuál, para que sepa si un activo determinado es algo que usted declaró o algo que la herramienta cree que es suyo.
Qué significa eso en la práctica
Al evaluar cualquier herramienta ASM, pregunte:
- ¿Puedo importar activos desde mi DNS?proveedor o un archivo de zona, o sólo los infiere?
- ¿El informe me muestra de dónde vino cada activo?
- ¿Qué pasa cuando está mal? ¿Puedo eliminar un activo y mantener esa decisión?
- ¿La herramienta verifica que realmente controlo un dominio antes de escanearlo?
Esa última pregunta importa más de lo que parece a primera vista. Una herramienta que escaneará cualquier dominio a pedido es un servicio de reconocimiento para quien lo solicite, no un producto de seguridad. Requerir pruebade propiedad (un registro DNS, un archivo en el servidor, una metaetiqueta) es el control que separa a los dos. Documentamos ese proceso paso a paso para ocho proveedores de DNS, incluidos Cloudflare, AWS Route 53 y Azure DNS.
Qué comprueba ASM una vez que conoce sus activos
Una vez que elexiste un inventario, la evaluación cubre varios niveles. Cada uno responde una pregunta diferente y falla de manera diferente.
TLS y configuración de certificado
Si las conexiones cifradas son realmente seguras: qué versiones de protocolo están habilitadas, qué conjuntos de cifrado se ofrecen, si el certificado es válido, está encadenado correctamente y si no está a punto de caducar. Los hallazgos comunes son versiones de protocolos antiguos que se dejan habilitadas, certificados que caducan sin previo aviso y cadenas de certificados incompletas que se rompen en algunos clientes y no en otros. Qué analiza en detalle un análisis TLS.
Seguridad HTTP y vulnerabilidades conocidas
Si las aplicaciones web están configuradas de forma defensiva y si el software que las ejecuta tiene fallas conocidas. Esto cubre los encabezados de seguridad, las tecnologías detectadas en cada unohost y comparar esas tecnologías y versiones con las vulnerabilidades publicadas: la lista CVE.
Un CVE es una falla de seguridad catalogada públicamente con un identificador único. Comparar sus versiones de software con ese catálogo le indica si está ejecutando algo con una debilidad conocida y documentada. Qué analiza en detalle un análisis HTTP.
Puertos abiertos y servicios expuestos
¿Qué puertos de red responden desde elInternet y lo que se escucha detrás de ellos. Se espera un servidor web en el puerto 443. Una base de datos, un servicio de escritorio remoto o una interfaz administrativa accesible desde cualquier lugar no lo son. Qué analiza en detalle un escaneo de puertos.
Configuración de DNS y suplantación de correo electrónico
Si el DNS está configurado de forma segura y si cualquiera puede enviar correos electrónicos que parezcan provenir de su dominio. Esto cubre registros SPF, DKIM y DMARC paraautenticación de correo, MTA-STS y TLS-RPT para la seguridad del transporte de correo, DNSSEC para la integridad de DNS y configuración que podría filtrar su conjunto de registros completo.
La falta de autenticación de correo electrónico es uno de los hallazgos más comunes y uno de los más fáciles de explotar, porque permite convencer al phishing contra su propio personal, clientes y proveedores. Qué analiza en detalle un análisis de DNS.
Reputación del dominio
Ya sea que sus dominios y direcciones aparezcan en listas de bloqueo o en fuentes de inteligencia sobre amenazas. Los problemas de reputación surgen como fallas en la capacidad de entrega mucho antes de que alguien investigue la causa.
Subdominios y hosts olvidados
Más allá de la enumeración, el riesgo específico aquí es la adquisición de subdominio: un registro DNS todavía apunta a un servicio en la nube que la organización ya no utiliza. Cualquiera que reclame ese nombre de servicio ahora controla el contenido servido desde susubdominio, con su nombre y, a menudo, su certificado.
ASM, gestión de vulnerabilidades y pruebas de penetración
Estos se combinan constantemente. Responden diferentes preguntas:
| Pregunta que responde | Alcance | Cadencia | |
|---|---|---|---|
| Gestión de la superficie de ataque | ¿Qué exponemos? ¿Es débil? | Acceso a Internet, no autenticado | Continua o programada |
| Gestión de vulnerabilidades | ¿Qué defectos conocidos existen en nuestro patrimonio? | Internos y externos, a menudo autenticados | Programado |
| Pruebas de penetración | ¿Puede realmente entrar un atacante experto? | Alcance, acordado de antemano | Periódico, generalmente anual |
La ASM es la más ancha y menos profunda. Las pruebas de penetración sonel más estrecho y profundo. La gestión de vulnerabilidades se encuentra entre ellos y generalmente asume que usted ya sabe lo que posee, que es la suposición que ASM existe para impedir que usted la haga.
No son sustitutos. ASM le dice a un pentester dónde buscar.
EASM, CAASM y las demás siglas
La categoría ha recogido cuatro siglas que se utilizan como si fueran intercambiable. No lo son, y la diferencia radica principalmente en dónde vienen los datosde.
EASM - gestión de superficie de ataque externo. La vista desde el exterior, sin Credenciales: lo que alguien en la Internet pública puede alcanzar. es lo que esto La guía describe, y es lo que hace AYAsec.
CAASM: gestión de la superficie de ataque de activos cibernéticos. Crea un inventario por extraer datos de activos de las herramientas que ya ejecuta: agentes de punto final, nube cuentas, proveedores de identidad, una CMDB, a través de sus API. Ve mucho más que unescaneo de afuera hacia adentro, activos internos incluidos, pero solo cuando una herramienta está ya instalado y reportando. No puede ver al anfitrión del que nadie le habló.
DRPS - servicios de protección de riesgos digitales. Observa lo que sucede fuera de tu infraestructura: credenciales filtradas, dominios similares registrados para suplantar tú, tu marca aparece donde no debería.
CTEM: gestión continua de exposición a amenazas. No es una categoría de producto en todo. Es un modelo de programa (alcanzar, descubrir, priorizar, validar, movilizar) y las herramientas anteriores son cosas que usarías dentro. Un vendedor que te vende "una plataforma CTEM" te está vendiendo una parte.
La versión corta: EASM encuentra lo que no sabías que expusiste, CAASM organiza lo que ya sabes que posees y DRPS observa lo que hacen otras personas con tu nombre. Las organizaciones más grandes terminan ejecutando más de una. Los más pequeños normalmente comienzacon la vista exterior, porque ahí es donde los activos nadie recuerda son.
Cómo ejecutar su primer escaneo de superficie de ataque
Independientemente de la herramienta que utilice, la secuencia es la misma.
1. Comience con un dominio. Su dominio principal, no un dominio completo. Quieres un resultado hoy, no un proyecto.
2. Demuestre que es el propietario. Cualquier herramienta creíble le pedirá una prueba antes de escanear, normalmente un registro DNS TXT, un archivo en una ruta conocida o una metaetiqueta en elpágina principal. Espere que este paso sea el que lleve más tiempo, porque a menudo significa preguntarle a quien administra el DNS.
3. Deje que se ejecute el descubrimiento. Obtendrá una lista de subdominios y hosts relacionados. Léelo antes que nada. La primera sorpresa genuina para la mayoría de los equipos no es una vulnerabilidad; es un activo que habían olvidado.
4. Agrupa lo que importa. No todo lo que encuentres merece la misma atención. Separar la producción de los experimentos.
5. Escanear y leerlos hallazgos por gravedad, no por recuento. Treinta advertencias de encabezado de baja gravedad importan menos que una base de datos expuesta.
6. Programe una programación. Un único análisis es una instantánea. El valor está en la comparación entre escaneos.
La apariencia diaria varía según el equipo: consulte equipos de seguridad y proveedores de servicios administrados.
En AYAsec, esto se ejecuta como Descubrimiento en un dominio, luego un escaneo de los activos que conserva. Los activos también se pueden importar directamente desde Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner o Contabo, o desde un archivo de zona cargado. El flujo de trabajo guiado se encuentra paso a paso en los documentos.
Cada tipo de escaneo está incluido en cada plan, incluido elgratis. Ejecute su primer análisis
Hallazgos comunes y lo que significan
El mismo puñado de problemas explican la mayor parte de lo que surge en un primer análisis.
Riesgo de adquisición de subdominio. Un registro DNS que apunta a un servicio que ya no utiliza. Gravedad: alta. Arreglar eliminando el registro.
Versiones obsoletas del protocolo TLS habilitadas. Las versiones antiguas permanecen por compatibilidad y rara vez se necesitan. Gravedad: media yarrastra hacia abajo todos los esquemas de calificación. Corrección en la configuración del servidor.
DMARC faltante o mal configurado. Sin él, cualquiera puede enviar correo que parezca provenir de su dominio. Gravedad: alta y es un riesgo organizacional más que técnico. Se soluciona publicando el registro, comenzando en modo monitoreo.
Un servicio administrativo expuesto a Internet. Escritorio remoto, un puerto de base de datos, una consola de administración. Gravedad: crítica. Restringirpor dirección IP o colóquelo detrás de una VPN.
Un certificado a punto de caducar. No es una vulnerabilidad, sino una interrupción autoinfligida en una fecha predecible.
¿Con qué frecuencia debes escanear?
La postura de seguridad se degrada silenciosamente. Un encabezado desaparece en una implementación. Un certificado está a punto de caducar. Se vuelve a habilitar un protocolo para solucionar una queja de compatibilidad. Nada de esto está anunciado y nada rompe nada visiblemente. Esa erosión gradual es la razón por la que una evaluación única envejece mal. La respuesta práctica depende de la frecuencia con la que despliegue: el reescaneo semanal es una base razonable para un patrimonio estable, diariamente es apropiado cuando realiza envíos con frecuencia, y lo que importa más que el intervalo es que a alguien se le avise cuando baja una calificación en lugar de tener que ir a mirar. Vea cómo crear el rastro de evidencia de remediación.
¿Dónde aparece esto?Reglamento de la UE
Dos leyes de la UE dicen ahora, con palabras diferentes, que hay que saber qué tu corres.
NIS2 (Directiva (UE) 2022/2555) debía incorporarse a la legislación nacional antes del 17 de octubre de 2024. El artículo 21 enumera los medidas de gestión de riesgos que las entidades esenciales e importantes deben tomar, y entre ellos se encuentran el manejo de vulnerabilidades y la seguridad de la cadena de suministro. Tampoco lo es posible para un anfitrión nadieha anotado.
DORA (Reglamento (UE) 2022/2554) se aplica desde el 17 de enero de 2025 a bancos, aseguradoras, empresas de inversión y entidades de pago que operan en la UE. El artículo 8 es más directo: financiero las entidades deben identificar, clasificar y documentar su información y activos TIC, mapear los críticos incluyendo su configuración y sus dependencias, y revise esa documentación enmenos una vez al año.
Lea ese requisito en comparación con la sección anterior sobre dónde viene la lista de activos. de. Un inventario elaborado por inferencia es un documento cuya entrada no se puede defender. por entrada, porque no se puede decir por qué está cada línea o quién decidió que fuera tuyo. Se puede explicar un inventario tomado de la zona DNS que usted controla. alguien que pregunta.
Lo que esto no significa. AYAsec no es una herramienta de cumplimiento y no producir una atestación. Ningún escáner le permite cumplir con ninguna de las leyes, y un El vendedor que insinúa lo contrario le está vendiendo algo. Lo que produce una exploración es evidencia fechada de lo que fue expuesto y en qué estado se encontraba - el tipo de cosa pide un auditor, y el tipo de cosas que resultan tediosas de montar a mano.
Preguntas frecuentes
¿La gestión de la superficie de ataque es lo mismo que EASM?
EASM (gestión de la superficie de ataque externo) es eltérmino más preciso para la vista sólo externa. En la práctica, la mayoría de las herramientas comercializadas como ASM son EASM. Si un proveedor quiere decir algo más amplio, debería decirlo.
¿Necesitamos esto si ya ejecutamos el escaneo de vulnerabilidades?
El escaneo de vulnerabilidades le informa sobre fallas en los activos a los que apunta. ASM le indica qué activos existen. Si su inventario está incompleto, también lo está su escaneo.
¿Cuánto tiempo se tarda en obtener el primer resultado?
Descubrimiento en unUn solo dominio suele ser de minutos. La parte lenta es demostrar la propiedad del dominio, porque normalmente depende de otra persona.
¿El escaneo romperá algo?
La evaluación externa es abrumadoramente pasiva o de bajo impacto. Las pruebas activas de aplicaciones web son la excepción y deben ejecutarse deliberadamente, en sistemas de su propiedad, idealmente fuera de las horas pico.
¿Podemos escanear un dominio que no nos pertenece?
No, y deberías desconfiar de cualquier herramienta que permitatú. La verificación de propiedad es una característica, no un obstáculo.