Attack Surface Management: A teljes útmutató
A támadási felületkezelés (ASM) azt a gyakorlatot jelenti, hogy mindent megtalálnak, amit a szervezete az internetnek tesz közzé, felméri az egyes dolgok gyengeségeit, és figyeli a változást. A nehéz rész ritkán az értékelés. Ez az, hogy tudod, mi van.
A legtöbb szervezet meg tudja nevezni fő webhelyét és termékét. Sokkal kevesebben tudják megnevezni az összes aldomaint, minden állomásozó környezetet, mindenszerver egy vállalkozó három éve felpörgött, és minden tanúsítvány, amely hamarosan lejár. A támadóknak nem kell tudniuk. Csak egy kell ezek közül, hogy gyengék legyenek.
Ez az útmutató elmagyarázza, mi az a támadási felület, mit ellenőrznek valójában az ASM-eszközök, és miért dönti el az eszközlista forrása, hogy érdemes-e elolvasni.
Mi az a támadási felület?
A támadási felületed minden, amit egy kívülálló elérhet, és amivel kapcsolatba léphetmindent, ami információt árul el rólad. A gyakorlatban ez tartományokat és aldomaineket, webalkalmazásokat, API-kat, levelezőszervereket, nyitott portokat és a mögöttük lévő szolgáltatásokat, TLS-tanúsítványokat, DNS-rekordokat és nyilvános végpontokkal rendelkező felhő-erőforrásokat jelent.
Konkrét példa
Vegyünk egy nyolcvan fős társaságot egy termékkel.
Tudnak a következőről: company.com és app.company.com. A támadási felületük a hostolt blog.company.com-t is tartalmazzaA platformra senki sem jelentkezett be, mióta a tartalom lead távozott, staging.company.com, amely ideiglenesnek szánta, vpn.company.com egy olyan készülékre mutat, amely már nem kapja meg a frissítéseket, a old-crm.company.com DNS-rekordjára, amely a vállalat által lemondott felhőszolgáltatásra mutat, és olyan levélrekordokat, amelyek lehetővé teszik, hogy bárki küldjön e-mailt, amely úgy tűnik, hogy a domainről érkezik.
Egyik sem szokatlan. Egyszerűen ez történik, ha egy szervezet anéhány év.
Külső versus belső
A támadási felület kezelése azt jelenti, hogy kívülről nézzük – amit a nyilvános interneten bárki láthat és elérhet hitelesítési adatok nélkül. Ez szándékosan a támadó nézőpontja.
A belső eszközök, az alkalmazotti laptopok és a vállalati hálózat mögött minden más probléma, amelyet különböző eszközök kezelnek. Az ASM nem fedi le őket, és egy olyan eszköz, amely azt állítja, hogy mindkettőt megteszi, általában sekélyesen végzi el az egyiket.
Miértfolyamatosan növekszik
A támadási felületek csendesen nőnek a szokásos munkával:
- Shadow IT. Egy csapat regisztrál egy szolgáltatásra, és egy aldomaint mutat rá.
- Elhagyott infrastruktúra. A projektek véget érnek; A DNS rekordok túlélik őket.
- Felhőrugalmasság. A környezet gyorsan létrejön, és lassan tisztul.
- Akvizíciók és vállalkozók. Ön örökli azokat a domaineket, amelyeket nem Ön hozott létre.
- Gyorsabb üzembe helyezés. Több kiadás nagyobb esélyt jelent a beállításrale kell ejteni anélkül, hogy bárki észrevenné.
Ennek eredményeként szakadék keletkezik aközött, amit egy szervezet gondol magáról, és amit valójában feltár. Az ASM azért létezik, hogy ezt a szakadékot bezárja.
Mi az a támadási felületkezelés?
A támadási felületkezelés az internetes eszközök felderítésének, biztonságuk felmérésének és változásának megfigyelésének folyamatos folyamata. Három kérdésre ad választ sorrendben: mi van, mi a baj, és mi változottlegutóbb óta.
A munka négy lépésre oszlik:
- Fedezze fel. Készítsen leltárt az internethez kapcsolódó eszközökről.
- Készlet. Döntse el, hogy melyik a tiéd, melyik számít, és ki a tulajdonosa.
- Értékelés. Ellenőrizze az egyes elemeket gyengeségek, hibás konfigurációk és ismert sebezhetőségek szempontjából.
- Monitor. Ellenőrizze újra az ütemezést, mert a testtartás romlik a telepítések között.
Az első lépés az, ahol a legtöbb érték és szinte az összes nehézségélő.
Honnan származik az eszközlista, és miért dönt mindenről
Két eszköz képes azonos ellenőrzéseket futtatni és teljesen eltérő értékű jelentéseket készíteni, mert eltérő módon építették fel az eszközlistájukat.
Első megközelítés: találgatás az internetről
A legtöbb ASM-eszköz egy domainnel kezdődik, és arra következtet, hogy mi tartozik még az Ön tulajdonába. Beolvasják a tanúsítványok átláthatósági naplóit, a passzív DNS-rekordokat és a nyilvános regisztrációs adatokat, majd heurisztikát alkalmaznak: hasonlónames, shared IP addresses, matching infrastructure.
Ez olyan dolgokat talál, amelyekről nem tudott, ami valóban hasznos. Két előre látható hibamódot is előállít:
- Olyan eszközök, amelyek nem az Önéi. A megosztott tárhely, az újrafelhasznált IP-tartomány vagy egy hasonló név harmadik fél infrastruktúráját vonja be. Jelentése most valaki más szervereivel kapcsolatos megállapításokat tartalmaz.
- Assets it never finds. Anything that does not leave a public trace matching theheurisztika láthatatlan marad.
Az első hibamód az, amely megöli az örökbefogadást. Ha egy mérnök külföldi eszközöket talál egy jelentésben, minden lelet gyanússá válik, és egy nem megbízható eszközt figyelmen kívül hagynak. Ez egy gyakran hivatkozott ok, amiért a csapatok elhagyják az ASM platformokat.
Második megközelítés: importálás az igazság forrásából
Az alternatíva az, hogy abbahagyja a találgatást, és megkérdezi a már tudó rendszert. Minden szervezet DNS-szolgáltatója rendelkezik egyzónáinak és nyilvántartásainak mérvadó listája. Ugyanígy a zónafájl exportálása is.
Ha a készlet az ügyfél saját DNS-fiókjából származik, harmadik fél eszköze nem jelenhet meg benne. A lista nem a legjobb tipp; ez tény, a nyilvántartási rendszerből vettük. A két megközelítés inkább kiegészíti egymást, semmint ellentétes. Az import megalapozza az igazságot, a felfedezés pedig megtalálja azt, ami hiányzik belőle. Az számít, hogy az eszköz megmondja, melyik melyik – így tudhatja, hogy egy adott eszközről Ön deklarált, vagy az eszköz szerint az Öné.
Mit jelent ez a gyakorlatban
Amikor bármely ASM-eszközt értékel, kérdezze meg:
- Importálhatok-e eszközöket a DNS-emből?provider or a zone file, or does it only infer them?
- A jelentésből kiderül, honnan származnak az egyes eszközök?
- Mi történik, ha rossz? Eltávolíthatok egy elemet, és megtarthatom a döntést?
- Ellenőrzi az eszköz, hogy valóban irányítok-e egy domaint, mielőtt megvizsgálná?
Ez az utolsó kérdés többet számít, mint elsőre tűnik. Egy olyan eszköz, amely kérésre bármely tartományt átvizsgál, felderítő szolgáltatás annak, aki kér, nem biztonsági termék. Bizonyítást igényela tulajdonjog – DNS rekord, fájl a szerveren, metacímke – a kettőt elválasztó vezérlő. Ezt a folyamatot lépésről lépésre dokumentáljuk nyolc DNS-szolgáltató esetében, köztük a Cloudflare, az AWS Route 53 és az Azure DNS.
Mit ellenőriz az ASM, ha ismeri az eszközeit
Egyszer aleltár létezik, az értékelés több réteget fed le. Mindegyik más kérdésre válaszol, és más módon bukik el.
TLS és tanúsítvány konfigurációja
A titkosított kapcsolatok valóban biztonságosak-e: mely protokollverziók engedélyezettek, mely titkosítási csomagokat kínálják, érvényes-e a tanúsítvány, megfelelően van-e láncolva, és nem jár-e le. A gyakori felfedezések a régi protokollverziók, a tanúsítványok figyelmeztetés nélkül lejártak, valamint a hiányos tanúsítványláncok, amelyek egyes klienseken megszakadnak, másokon nem. Amit a TLS-vizsgálat részletesen megvizsgál.
HTTP-biztonság és ismert biztonsági rések
A webalkalmazások védekezően vannak-e konfigurálva, és hogy az őket futtató szoftvernek vannak-e ismert hibái. Ez magában foglalja a biztonsági fejléceket, az egyes rajtuk észlelt technológiákatgazdagépet, valamint ezeknek a technológiáknak és verzióknak a közzétett biztonsági résekkel való egyeztetését – a CVE listát.
A CVE egy nyilvánosan katalogizált biztonsági hiba egyedi azonosítóval. A szoftververziók megfeleltetése a katalógussal megmutatja, hogy fut-e valami ismert, dokumentált gyengeséggel. Amit a HTTP-vizsgálat részletesen megvizsgál.
Nyitott portok és nyílt szolgáltatások
Melyik hálózati portok válaszolnak ainternet és mi van mögöttük. Webszerver a 443-as porton várható. Egy adatbázis, egy távoli asztali szolgáltatás vagy egy bárhonnan elérhető adminisztrációs felület nem az. Amit a portszkennelés részletesen megvizsgál.
DNS-konfiguráció és e-mail-hamisítás
A DNS biztonságosan van-e konfigurálva, és hogy bárki küldhet-e olyan e-mailt, amely úgy tűnik, hogy az Ön domainjéből származik. Ez magában foglalja az SPF, DKIM és DMARC rekordokatmail hitelesítés, MTA-STS és TLS-RPT a levéltovábbítás biztonságához, DNSSEC a DNS integritásához és konfiguráció, amely kiszivároghat a teljes rekordkészletből.
A hiányzó e-mail-hitelesítés az egyik leggyakoribb felfedezés, és az egyik legkönnyebben kihasználható, mert lehetővé teszi a saját munkatársai, ügyfelei és beszállítói elleni meggyőző adathalászatot. Amit a DNS-vizsgálat részletesen megvizsgál.
Domain hírneve
Függetlenül attól, hogy domainjei és címei megjelennek-e a tiltólistán vagy a fenyegetettségi intelligencia hírfolyamában. A hírnévvel kapcsolatos problémák jóval azelőtt felbukkannak, mint a teljesítési kudarc, mielőtt bárki megvizsgálná az okát.
Aldomainek és elfelejtett gazdagépek
A felsoroláson túl a konkrét kockázat itt az aldomain átvétele: a DNS-rekord továbbra is a szervezet által már nem használt felhőszolgáltatásra mutat. Bárki, aki azt állítja, hogy a szolgáltatás neve mostantól az Ön által szolgáltatott tartalmat szabályozzaaldomain, az Ön nevével és gyakran a tanúsítvánnyal.
ASM, sebezhetőség-kezelés és penetrációs tesztelés
Ezek folyamatosan keverednek. Különféle kérdésekre válaszolnak:
| Kérdés, amit megválaszol | Hatály | Cadence | |
|---|---|---|---|
| Támadási felület kezelése | Mit teszünk ki, és gyenge? | Internetre néző, nem hitelesített | Folyamatos vagy ütemezett |
| Sebezhetőség-kezelés | Milyen ismert hibák vannak birtokunkban? | Belső és külső, gyakran hitelesített | Ütemezett |
| Behatolási vizsgálat | Valóban bejuthat egy képzett támadó? | Hatályos, előre egyeztetett | Időszakos, általában éves |
Az ASM a legszélesebb és legsekélyebb. A penetrációs vizsgálat aza legkeskenyebb és legmélyebb. A sebezhetőség-kezelés közöttük van, és általában azt feltételezi, hogy már tudja, mi a tulajdona – ez az a feltételezés, hogy az ASM létezik, hogy megakadályozza Önt abban, hogy ezt tegye.
Nem helyettesítők. Az ASM megmondja a pentesternek, hogy hol keresse.
EASM, CAASM és a többi mozaikszó
A kategória négy rövidítést gyűjtött össze, amelyeket úgy használnak, mintha azok lennének felcserélhető. Nem azok, és a különbség leginkább abban rejlik, hogy hol a jönnek az adatoktól.
EASM – külső támadási felületkezelés. A kilátás kívülről, anélkül hitelesítő adatok: amit valaki elérhet a nyilvános interneten. Ez az, ami útmutató leírja, és ez az, amit az AYAsec csinál.
CAASM – kibereszközök támadási felületkezelése. Egy leltárt épít fel eszközadatok kivonása a már futtatott eszközökből – végpontügynökök, felhő fiókok, identitásszolgáltatók, CMDB – API-kon keresztül. Sokkal többet lát mint egykülső beolvasás, belső eszközök is, de csak ott, ahol van egy eszköz már telepítve van és jelentést készít. Nem látja a házigazdát, akiről senki sem beszélt.
DRPS – digitális kockázatvédelmi szolgáltatások. Figyeli, hogy mi történik az Önön kívül infrastruktúra: kiszivárgott hitelesítő adatok, hasonló domainek, amelyek a megszemélyesítéshez regisztráltak te, a márkád ott bukkan fel, ahol nem kellene.
CTEM – folyamatos fenyegetés-expozíció-kezelés. Nem termékkategória a címen minden. Ez egy programmodell - kiterjed, felfedezni, rangsorolni, érvényesíteni, mobilizálni - és a fenti eszközök olyan dolgok, amelyeket benne használna. Egy eladó, aki eladja Önt "egy CTEM platform" eladja Önnek az egyik részét.
A rövid változat: Az EASM megtalálja azt, amit nem is tudott, hogy felfedte, a CAASM rendszerezi azt, amiről már tudja, hogy a birtokában van, a DRPS pedig figyeli, mit csinálnak mások a te neveddel. A nagyobb szervezetek végül egynél többet üzemeltetnek. Kisebbek általában elindula külső kilátással, mert ott a vagyon senki emlékszik azok.
Az első támadási felületi vizsgálat futtatása
Függetlenül attól, hogy melyik eszközt használja, a sorrend ugyanaz.
1. Kezdje egy domainnel. Az Ön elsődleges domainje, nem teljes birtok. Ma eredményt akarsz, nem projektet.
2. Bizonyítsa be, hogy Ön a tulajdonosa. Minden hiteles eszköz igazolást kér a vizsgálat előtt – jellemzően DNS TXT rekord, ismert elérési úton lévő fájl vagy metacímke akezdőlap. Várhatóan ez a lépés tart a legtovább, mert ez gyakran azt jelenti, hogy a DNS-t felügyelőtől kell megkérdezni.
3. Hagyja futni a felfedezést. Megjelenik az aldomainek és a kapcsolódó gazdagépek listája. Olvassa el minden más előtt. A legtöbb csapat számára az első igazi meglepetés nem a sebezhetőség; ez egy olyan vagyon, amelyet elfelejtettek.
4. Csoportosítsa a fontosakat. Nem minden, amit talál, érdemel egyforma figyelmet. A gyártás elkülönítése a kísérletektől.
5. Olvass és szkenneljaz eredményeket súlyosság szerint, nem pedig szám szerint. Harminc alacsony súlyosságú fejléc-figyelmeztetés kevesebbet jelent, mint egy nyilvános adatbázis.
6. Állítsa be az ütemezést. Egyetlen vizsgálat pillanatfelvétel. Az érték a szkennelések összehasonlításában van.
Hogy ez hogyan néz ki napról napra, csapatonként eltérő: lásd: biztonsági csapatok és felügyelt szolgáltatók.
Az AYAsecben ez Discovery néven fut egy tartományon, majd átkutatja a megőrzött eszközöket. Az eszközök közvetlenül a [Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner vagy Contabo] (/integrations/dns-providers/) vagy feltöltött zónafájlból is importálhatók. Az irányított munkafolyamat lépésről lépésre a dokumentumokban.
Minden vizsgálati típus szerepel minden tervben, beleértve aingyenes. Futtassa le az első vizsgálatot
Gyakori megállapítások és azok jelentése
Ugyanazok a problémák okozzák a legtöbbet, ami az első vizsgálat során felmerül.
Aldomain átvételi kockázat. Olyan DNS-rekord, amely egy olyan szolgáltatásra mutat, amelyet már nem használ. Súlyosság: magas. Javítsa ki a rekord eltávolításával.
Elavult TLS-protokoll-verziók engedélyezve. A régi verziók megmaradnak a kompatibilitás miatt, és ritkán van rájuk szükség. Súlyosság: közepes, éslehúz minden osztályozási sémát. Javítás a szerver konfigurációjában.
Hiányzó vagy rosszul konfigurált DMARC. Enélkül bárki küldhet olyan leveleket, amelyek az Ön domainjéből származnak. Súlyosság: magas, és ez inkább szervezeti, mint technikai kockázat. Javítsa ki a rekord közzétételével, felügyeleti módból indulva.
Internetnek kitett adminisztrációs szolgáltatás. Távoli asztal, adatbázis-port, felügyeleti konzol. Súlyosság: kritikus. KorlátozásIP-cím alapján, vagy helyezze VPN mögé.
A tanúsítvány lejárata felé közeledik. Nem sebezhetőség, hanem öngerjesztett kimaradás, előre látható időpontban.
Milyen gyakran kell beolvasni?
A biztonsági testtartás csendesen romlik. A fejléc eltűnik a telepítés során. A tanúsítvány lejáratához közeledik. A protokoll újra engedélyezve lesz a kompatibilitási panasz kijavításához. Egyik sincs bejelentve, és egyik sem tör el semmit láthatóan. Ez a fokozatos erózió az oka annak, hogy az egyszeri értékelés rosszul öregszik. A gyakorlati válasz a telepítés gyakoriságától függ: a heti újraszkennelés ésszerű kiindulási alap egy stabil ingatlan esetén, a napi rendszeres szállítás megfelelő, és ami fontosabb az intervallumnál, hogy valakinek értesítsék, ha leesik az osztályzat, ahelyett, hogy el kell mennie megnézni. Nézze meg, hogyan kell felépíteni a kármentesítési bizonyítékok nyomvonalát.
Hol jelenik megEU szabályozás
Két uniós jogszabály most más-más szóval azt mondja, hogy mit kell tudni te futsz.
NIS2 ((EU) 2022/2555 irányelv)
- október 17-ig be kellett írni a nemzeti jogba. A 21. cikk felsorolja a
kockázatkezelési intézkedések, amelyeket az alapvető és fontos szervezeteknek meg kell tenniük, és köztük van a sebezhetőségek kezelése és az ellátási lánc biztonsága. Egyik sem házigazda senki számára nem lehetségesleírta.
DORA ((EU) 2022/2554 rendelet)
- január 17. óta jelentkezik bankoknál, biztosítóknál, befektetési vállalkozásoknál, ill
az EU-ban működő pénzforgalmi intézmények. A 8. cikk közvetlenebb: pénzügyi a jogalanyoknak azonosítaniuk, osztályozniuk és dokumentálniuk kell információikat és IKT-eszközeiket, feltérképezni a kritikusakat, beleértve azok konfigurációját és függőségeit, és tekintse át a dokumentációt a címenévente legalább egyszer.
Olvassa el ezt a követelményt az eszközlista helyéről szóló korábbi szakaszban től. A következtetéssel összeállított leltár olyan dokumentum, amelyet nem lehet megvédeni bejegyzéssel, mert nem lehet megmondani, hogy az egyes sorok miért vannak benne, vagy ki döntötte el, hogy ez volt a tiéd. Az Ön által irányított DNS-zónából vett leltár megmagyarázható valaki, aki kérdez.
Mit ez nem jelent. Az AYAsec nem megfelelőségi eszköz, és nem is az tanúsítványt készíteni. Egyetlen szkenner sem tesz megfelelni egyik törvénynek sem, és a az eladó, aki ennek ellenkezőjére utal, elad Önnek valamit. Amit a szkennelés produkál keltezett bizonyíték arra vonatkozóan, hogy mi került nyilvánosságra és milyen állapotban volt – ez a fajta dolog egy auditor kér, és olyasmi, amit unalmas kézzel összeszerelni.
Gyakran ismételt kérdések
A támadási felületkezelés ugyanaz, mint az EASM?
Az EASM – külső támadási felületkezelés – azpontosabb kifejezés a csak külső nézetre. A gyakorlatban a legtöbb ASM néven forgalmazott eszköz EASM. Ha egy eladó valami tágabbat jelent, akkor ezt kell mondania.
Szükségünk van erre, ha már futtatunk sebezhetőségi vizsgálatot?
A sérülékenység-ellenőrzés tájékoztat az Ön által megjelölt eszközök hibáiról. Az ASM megmondja, hogy mely eszközök léteznek. Ha a leltár nem teljes, akkor a szkennelés is az.
Mennyi ideig tart az első eredmény megszerzése?
Felfedezés aaz egyetlen tartomány jellemzően perc. A lassú rész a domain tulajdonjogának bizonyítása, mert ez általában mástól függ.
A szkennelés eltör valamit?
A külső értékelés túlnyomórészt passzív vagy alacsony hatású. Ez alól kivételt képez az aktív webalkalmazás-tesztelés, amelyet szándékosan kell futtatni, saját rendszerein, ideális esetben csúcsidőn kívül.
Szkennelhetünk egy olyan domaint, amely nem a miénk?
Nem, és gyanakodnia kell minden olyan eszközre, amely lehetővé teszite. A tulajdonjog ellenőrzése funkció, nem akadály.