Zarządzanie powierzchnią ataku: kompletny przewodnik

Zarządzanie powierzchnią ataku (ASM) to praktyka polegająca na znajdowaniu wszystkiego, co Twoja organizacja udostępnia w Internecie, ocenianiu każdego z tych elementów pod kątem słabych punktów i obserwowaniu ich pod kątem zmian. Ocena rzadko jest najtrudniejsza. To wiedza o tym, co się posiada.

Większość organizacji może nazwać swoją główną stronę internetową i swój produkt. Znacznie mniej osób potrafi nazwać każdą subdomenę, każde środowisko testowe, każdeserwer, który wykonawca uruchomił trzy lata temu, i każdy certyfikat, który wkrótce wygaśnie. Atakujący nie muszą o tym wiedzieć. Wystarczy, że jeden z nich będzie słaby.

W tym przewodniku wyjaśniono, czym jest powierzchnia ataku, co tak naprawdę sprawdzają narzędzia ASM i dlaczego źródło listy zasobów decyduje o tym, czy warto ją przeczytać.

Co to jest powierzchnia ataku?

Twoją powierzchnią ataku jest wszystko, do czego osoba z zewnątrz może dotrzeć i z czym może wejść w interakcjęwszystko, co ujawnia informacje o Tobie. W praktyce oznacza to domeny i subdomeny, aplikacje internetowe, API, serwery pocztowe, otwarte porty i usługi za nimi stojące, certyfikaty TLS, rekordy DNS i zasoby chmurowe z publicznymi punktami końcowymi.

Konkretny przykład

Weź firmę składającą się z osiemdziesięciu osób z jednym produktem.

Wiedzą o company.com i app.company.com. Ich powierzchnia ataku obejmuje również blog.company.com na serwerze hostowanymplatforma, na którą nikt się nie logował od czasu odejścia głównego dostawcy treści, staging.company.com, która miała być tymczasowa, vpn.company.com wskazująca urządzenie, które przestało otrzymywać aktualizacje, rekord DNS dla old-crm.company.com wskazujący na usługę w chmurze anulowaną przez firmę oraz rekordy poczty, które umożliwiają każdemu wysyłanie wiadomości e-mail wyglądających na pochodzące z domeny.

Nic z tego nie jest niezwykłe. Tak się po prostu dzieje, gdy organizacja działa dla npkilka lat.

Zewnętrzne kontra wewnętrzne

Zarządzanie powierzchnią ataku oznacza widok z zewnątrz – co ktoś w publicznym Internecie może zobaczyć i dosięgnąć bez poświadczeń. Jest to celowo perspektywa atakującego.

Zasoby wewnętrzne, laptopy pracowników i wszystko, co znajduje się poza siecią firmową, to inny problem, którym zajmują się różne narzędzia. ASM ich nie obejmuje, a narzędzie, które twierdzi, że robi jedno i drugie, zwykle wykonuje jeden z nich płytko.

Dlaczegociągle rośnie

Powierzchnie ataku rosną cicho, poprzez zwykłą pracę:

Shadow IT. Zespół rejestruje się w usłudze i wskazuje na nią subdomenę.
Opuszczona infrastruktura. Zakończenie projektów; Rekordy DNS je przeżywają.
Elastyczność chmury. Środowiska są tworzone szybko i oczyszczane powoli.
Przejęcia i kontrahenci. Dziedziczysz domeny, których nie utworzyłeś.
Szybsze wdrażanie. Więcej wersji oznacza większe szanse na ustawieniezostać upuszczony tak, aby nikt tego nie zauważył.

Rezultatem jest rozbieżność między tym, co organizacja myśli, że posiada, a tym, co faktycznie ujawnia. ASM istnieje, aby wypełnić tę lukę.

Co to jest zarządzanie powierzchnią ataku?

Zarządzanie powierzchnią ataku to ciągły proces odkrywania zasobów dostępnych w Internecie, oceny ich bezpieczeństwa i monitorowania pod kątem zmian. Odpowiada na trzy pytania w kolejności: co mamy, co jest z nim nie tak i co się zmieniłood ostatniego razu.

Praca dzieli się na cztery etapy:

Odkryj. Twórz spis zasobów dostępnych w Internecie.
Inwentarz. Zdecyduj, które z nich są Twoje, które mają znaczenie i kto jest ich właścicielem.
Oceń. Sprawdź każdy zasób pod kątem słabych punktów, błędnych konfiguracji i znanych luk w zabezpieczeniach.
Monitoruj. Sprawdź ponownie zgodnie z harmonogramem, ponieważ postawa ulega pogorszeniu pomiędzy wdrożeniami.

Krok pierwszy to miejsce, w którym jest najwięcej wartości i prawie cała trudnośćna żywo.

Skąd pochodzi lista aktywów i dlaczego decyduje o wszystkim

Dwa narzędzia mogą przeprowadzać identyczne kontrole i generować raporty o zupełnie innej wartości, ponieważ swoje listy aktywów budowały w różny sposób.

Podejście pierwsze: zgadywanie z Internetu

Większość narzędzi ASM zaczyna od domeny i wnioskuje, co jeszcze należy do Ciebie. Odczytują dzienniki przejrzystości certyfikatów, pasywne rekordy DNS i dane rejestracji publicznej, a następnie stosują heurystykę: podobnienazwy, współdzielone adresy IP, pasująca infrastruktura.

Dzięki temu znajdziesz rzeczy, o których nie miałeś pojęcia, co jest naprawdę przydatne. Tworzy również dwa przewidywalne tryby awarii:

Zasoby, które nie są Twoje. Hosting współdzielony, ponownie wykorzystywany zakres adresów IP lub podobna nazwa korzystają z infrastruktury strony trzeciej. Twój raport zawiera teraz ustalenia dotyczące serwerów innej osoby.
Zasoby, których nigdy nie znajdzie. Wszystko, co nie pozostawia publicznego śladu pasującego doheurystyka pozostaje niewidoczna.

Pierwszy tryb niepowodzenia to ten, który zabija adopcję. Gdy inżynier znajdzie w raporcie obce zasoby, każde odkrycie staje się podejrzane, a narzędzie, któremu nie ufa się, zostaje zignorowane. Jest to często podawany powód, dla którego zespoły porzucają platformy ASM.

Podejście drugie: importowanie ze źródła prawdy

Alternatywą jest zaprzestanie zgadywania i zapytanie systemu, który już wie. Dostawca DNS każdej organizacji posiada plikautorytatywna lista swoich stref i zapisów. Podobnie eksport pliku strefy.

Jeśli zapasy pochodzą z własnego konta DNS klienta, zasób strony trzeciej nie może się na nim pojawić. Lista nie jest najlepszym przypuszczeniem; jest to fakt zaczerpnięty z systemu zapisów. Obydwa podejścia raczej się uzupełniają niż przeciwstawiają. Import ustala podstawową prawdę, a odkrycie znajduje to, czego jej brakuje. Liczy się to, że narzędzie mówi Ci, który jest który – dzięki temu wiesz, czy dany zasób jest tym, co zadeklarowałeś, czy czymś, co narzędzie uważa za Twoje.

Co to oznacza w praktyce

Kiedy oceniasz dowolne narzędzie ASM, zapytaj:

Czy mogę importować zasoby z mojego DNSdostawca lub plik strefy, czy tylko je wnioskuje?
Czy raport pokazuje, skąd pochodzi każdy zasób?
Co się dzieje, gdy coś jest nie tak? Czy mogę usunąć zasób i zachować tę decyzję?
Czy narzędzie sprawdza, czy faktycznie kontroluję domenę przed jej przeskanowaniem?

To ostatnie pytanie ma większe znaczenie, niż się wydaje na pierwszy rzut oka. Narzędzie, które na żądanie przeskanuje dowolną domenę, jest usługą rozpoznawczą dla każdego, kto o to poprosi, a nie produktem zabezpieczającym. Wymagający dowoduwłasność – rekord DNS, plik na serwerze, metatag – to kontrola oddzielająca te dwa elementy. Dokumentujemy ten proces krok po kroku dla ośmiu dostawców DNS, w tym Cloudflare, AWS Route 53 i Azure DNS.

Co ASM sprawdza, gdy zna Twoje aktywa

Razistnieje inwentarz, ocena obejmuje kilka warstw. Każdy odpowiada na inne pytanie i ponosi porażkę w inny sposób.

Konfiguracja protokołu TLS i certyfikatu

Czy szyfrowane połączenia są rzeczywiście bezpieczne: jakie wersje protokołów są włączone, jakie zestawy szyfrów są oferowane, czy certyfikat jest ważny, prawidłowo powiązany i czy wkrótce nie wygaśnie. Typowymi objawami są pozostawione włączone stare wersje protokołów, certyfikaty wygasające bez ostrzeżenia i niekompletne łańcuchy certyfikatów, które psują się na niektórych klientach, a na innych nie. Szczegółowe informacje na temat skanowania TLS.

Bezpieczeństwo HTTP i znane luki

Czy aplikacje internetowe są skonfigurowane w sposób defensywny i czy oprogramowanie je uruchamiające ma znane wady. Dotyczy to nagłówków zabezpieczeń i technologii wykrytych w każdym z nichhost i dopasowanie tych technologii i wersji do opublikowanych podatności – lista CVE.

CVE to publicznie skatalogowana luka w zabezpieczeniach posiadająca unikalny identyfikator. Dopasowanie wersji oprogramowania do tego katalogu pozwoli Ci dowiedzieć się, czy używasz czegoś, co ma znaną, udokumentowaną słabość. Szczegółowe informacje na temat skanowania HTTP.

Otwarte porty i odsłonięte usługi

Które porty sieciowe odpowiadają zinternet i to, co za nimi słychać. Oczekiwany jest serwer WWW na porcie 443. Baza danych, usługa zdalnego pulpitu lub interfejs administracyjny dostępny z dowolnego miejsca nie są. Szczegółowe informacje na temat skanowania portów.

Konfiguracja DNS i fałszowanie poczty e-mail

Czy DNS jest skonfigurowany bezpiecznie i czy każdy może wysyłać wiadomości e-mail, które wydają się pochodzić z Twojej domeny. Dotyczy to rekordów SPF, DKIM i DMARC dlauwierzytelnianie poczty, MTA-STS i TLS-RPT dla bezpieczeństwa transportu poczty, DNSSEC dla integralności DNS i konfiguracja, która może spowodować wyciek pełnego zestawu rekordów.

Brak uwierzytelnienia poczty elektronicznej jest jednym z najczęstszych i najłatwiejszych do wykorzystania ustaleń, ponieważ umożliwia przekonujący phishing przeciwko własnym pracownikom, klientom i dostawcom. Szczegółowe informacje na temat skanowania DNS.

Reputacja domeny

Czy Twoje domeny i adresy pojawiają się na listach blokowania lub w źródłach informacji o zagrożeniach. Problemy z reputacją ujawniają się w postaci problemów z dostarczalnością na długo przed zbadaniem przyczyny.

Subdomeny i zapomniane hosty

Poza wyliczeniem konkretnym ryzykiem jest tutaj przejęcie subdomeny: rekord DNS nadal wskazuje na usługę w chmurze, z której organizacja już nie korzysta. Każdy, kto twierdzi, że ta nazwa usługi ma teraz kontrolę nad treściami udostępnianymi przez Twojąsubdomena, z Twoim imieniem i często certyfikatem.

ASM, zarządzanie podatnościami i testy penetracyjne

Są one stale łączone. Odpowiadają na różne pytania:

	Pytanie, na które odpowiada	Zakres	Kadencja
Zarządzanie powierzchnią ataku	Co eksponujemy i czy jest to słabe?	Połączenie z Internetem, nieuwierzytelnione	Ciągłe lub zaplanowane
Zarządzanie podatnościami	Jakie znane wady występują w całej naszej posiadłości?	Wewnętrzne i zewnętrzne, często uwierzytelniane	Zaplanowane
Testy penetracyjne	Czy doświadczony napastnik może dostać się do środka?	Zakres, uzgodniony z góry	Okresowe, zwykle roczne

ASM jest najszerszy i najpłytszy. Testy penetracyjne sąnajwęższy i najgłębszy. Zarządzanie lukami w zabezpieczeniach znajduje się pomiędzy nimi i zwykle zakłada, że już wiesz, co posiadasz – a takie jest założenie, że ASM istnieje po to, aby Cię przed tym powstrzymać.

Nie są substytutami. ASM mówi pentesterowi, gdzie szukać.

EASM, CAASM i inne akronimy

W tej kategorii zebrano cztery akronimy, których używa się tak, jakby były wymienne. Tak nie jest, a różnica polega głównie na tym, gdzie przychodzą danez.

EASM - zarządzanie powierzchnią ataku zewnętrznego. Widok z zewnątrz, bez dane uwierzytelniające: do czego może dotrzeć ktoś w publicznym Internecie. To jest to przewodnik opisuje i to właśnie robi AYAsec.

CAASM – zarządzanie powierzchnią ataku cybernetycznego. Tworzy jeden ekwipunek według wyciąganie danych o zasobach z już uruchomionych narzędzi – agentów końcowych, chmury konta, dostawcy tożsamości, CMDB - za pośrednictwem ich interfejsów API. Widzi znacznie więcej niżskanowanie z zewnątrz, łącznie z zasobami wewnętrznymi, ale tylko tam, gdzie znajduje się narzędzie już zainstalowany i raportuje. Nie widzi gospodarza, o którym nikt mu nie mówił.

DRPS – cyfrowe usługi ochrony przed ryzykiem. Obserwuje, co dzieje się poza Twoim infrastruktura: wycieki danych uwierzytelniających, podobne domeny zarejestrowane w celu podszywania się Ty, Twoja marka pojawia się tam, gdzie nie powinna.

CTEM – ciągłe zarządzanie narażeniem na zagrożenia. Nie jest to kategoria produktu w Wszystko. Jest to model programu – zakres, odkrywanie, ustalanie priorytetów, walidacja, mobilizacja – a powyższe narzędzia to rzeczy, których możesz w nim użyć. Sprzedawca, który Cię sprzedaje „platforma CTEM” sprzedaje Ci jedną jej część.

Krótka wersja: EASM znajduje to, czego nie wiedziałeś, że ujawniłeś, CAASM organizuje to, co już wiesz, że posiadasz, a DRPS obserwuje, co robią inni ludzie z twoim imieniem. Większe organizacje prowadzą więcej niż jedną. Mniejsze zwykle zaczynajz widokiem z zewnątrz, bo tam nikt nie ma aktywów pamięta.

Jak przeprowadzić pierwszy skan powierzchni ataku

Niezależnie od tego, jakiego narzędzia użyjesz, kolejność jest taka sama.

1. Zacznij od jednej domeny. Twoja domena podstawowa, a nie cała posiadłość. Chcesz dzisiaj rezultatu, a nie projektu.

2. Udowodnij, że jesteś jego właścicielem. Każde wiarygodne narzędzie przed skanowaniem poprosi o dowód – zazwyczaj jest to rekord DNS TXT, plik o znanej ścieżce lub metatag nastrona główna. Spodziewaj się, że ten krok zajmie najwięcej czasu, ponieważ często wiąże się z zapytaniem o osobę administrującą DNS.

3. Pozwól na rozpoczęcie wyszukiwania. Otrzymasz listę subdomen i powiązanych hostów. Przeczytaj to zanim cokolwiek innego. Pierwszą prawdziwą niespodzianką dla większości zespołów nie jest luka; jest to atut, o którym zapomnieli.

4. Grupuj to, co ważne. Nie wszystko, co znajdziesz, zasługuje na taką samą uwagę. Oddziel produkcję od eksperymentów.

5. Zeskanuj i przeczytajwyniki według ważności, a nie liczby. Trzydzieści ostrzeżeń w nagłówkach o niskiej ważności ma mniejsze znaczenie niż jedna ujawniona baza danych.

6. Umieść to w harmonogramie. Pojedynczy skan to migawka. Wartość wynika z porównania skanów.

Jak to wygląda na co dzień, różni się w zależności od zespołu: zobacz zespoły ds. bezpieczeństwa i dostawcy usług zarządzanych.

W AYAsec działa to jako wykrywanie domeny, a następnie skanowanie przechowywanych zasobów. Zasoby można również importować bezpośrednio z Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner lub Contabo lub z przesłanego pliku strefy. Przebieg pracy opisany jest krok po kroku w dokumentacji.
Każdy typ skanowania jest uwzględniony w każdym planie, w tymdarmowy. Uruchom pierwszy skan

Typowe ustalenia i ich znaczenie

Ta sama garstka problemów odpowiada za większość informacji ujawnianych podczas pierwszego skanowania.

Ryzyko przejęcia subdomeny. Rekord DNS wskazujący usługę, z której już nie korzystasz. Dotkliwość: wysoka. Napraw, usuwając rekord.

Włączono nieaktualne wersje protokołu TLS. Stare wersje pozostają ze względu na kompatybilność i są rzadko potrzebne. Dotkliwość: średnia iosłabia to każdy schemat oceniania. Naprawiono konfigurację serwera.

Brakujący lub błędnie skonfigurowany DMARC. Bez niego każdy może wysyłać pocztę wyglądającą na pochodzącą z Twojej domeny. Dotkliwość: wysoka i jest to ryzyko organizacyjne, a nie techniczne. Napraw, publikując rekord, zaczynając od trybu monitorowania.

Usługa administracyjna dostępna w Internecie. Zdalny pulpit, port bazy danych, konsola zarządzania. Waga: krytyczna. Ograniczaćwedług adresu IP lub umieść go za VPN.

Certyfikat wkrótce wygaśnie. Nie luka w zabezpieczeniach, ale awaria z własnej winy w przewidywalnym terminie.

Jak często należy skanować?

Stan bezpieczeństwa ulega cichej degradacji. Nagłówek znika we wdrożeniu. Certyfikat zbliża się do wygaśnięcia. Protokół zostaje ponownie włączony w celu naprawienia skargi dotyczącej kompatybilności. Nic z tego nie jest ogłaszane i nic nie psuje niczego w widoczny sposób. Ta stopniowa erozja jest powodem, dla którego jednorazowa ocena źle się starzeje. Praktyczna odpowiedź zależy od tego, jak często wdrażasz: cotygodniowe ponowne skanowanie to rozsądna podstawa dla stabilnej pozycji, codzienne jest odpowiednie, jeśli często wysyłasz, a ważniejsze niż odstęp czasu jest to, że ktoś zostaje poinformowany, gdy ocena spada, a nie musi iść i patrzeć. Zobacz, jak utworzyć ścieżkę dowodów dotyczących środków zaradczych.

Gdzie to się pojawiaRozporządzenie UE

Obecnie dwa akty prawa UE mówią innymi słowami, że trzeba wiedzieć co biegniesz.

NIS2 (Dyrektywa (UE) 2022/2555) musiały zostać zapisane w prawie krajowym do dnia 17 października 2024 r. W art. 21 wymieniono: środki zarządzania ryzykiem, które muszą podjąć istotne i ważne podmioty, a wśród nich jest obsługa luk w zabezpieczeniach i bezpieczeństwo łańcucha dostaw. Ani nie jest niemożliwe dla gospodarza nikogozapisał.

DORA (Rozporządzenie (UE) 2022/2554) ma zastosowanie od 17 stycznia 2025 r. do banków, ubezpieczycieli, firm inwestycyjnych i instytucje płatnicze działające na terenie UE. Artykuł 8 jest bardziej bezpośredni: finansowy podmioty muszą identyfikować, klasyfikować i dokumentować swoje informacje i aktywa ICT, zmapuj te krytyczne, łącznie z ich konfiguracją i zależnościami, oraz przejrzyj tę dokumentację pod adresemprzynajmniej raz w roku.

Przeczytaj ten wymóg w porównaniu z wcześniejszą sekcją dotyczącą tego, gdzie znajduje się lista aktywów od. Inwentarz sporządzony drogą wnioskowania jest dokumentem, którego wpisu nie można obronić poprzez wpis, ponieważ nie można powiedzieć, dlaczego dana linia się w nim znajduje ani kto o tym zdecydował twoje. Można wyjaśnić inwentaryzację pobraną ze strefy DNS, którą kontrolujesz ktoś, kto pyta.

Co to nie oznacza. AYAsec nie jest narzędziem zapewniającym zgodność z przepisami i nim nie jest sporządzić zaświadczenie. Żaden skaner nie zapewni zgodności z żadnym z przepisów, a sprzedawca, który sugeruje inaczej, coś Ci sprzedaje. To, co daje skanowanie, to datowane dowody na to, co zostało odsłonięte i w jakim było stanie – tego rodzaju rzeczy o które prosi audytor, i takie, których montaż ręczny jest żmudny.

Często zadawane pytania

Czy zarządzanie powierzchnią ataku jest takie samo jak EASM?

EASM – zarządzanie powierzchnią ataku zewnętrznego – tobardziej precyzyjne określenie widoku wyłącznie zewnętrznego. W praktyce większość narzędzi sprzedawanych jako ASM to EASM. Jeśli sprzedawca ma na myśli coś szerszego, powinien to powiedzieć.

Czy potrzebujemy tego, jeśli już przeprowadzamy skanowanie pod kątem luk w zabezpieczeniach?

Skanowanie pod kątem luk w zabezpieczeniach informuje Cię o wadach zasobów, na które wskazujesz. ASM informuje Cię, jakie aktywa istnieją. Jeśli inwentarz jest niekompletny, to samo dotyczy skanowania.

Jak długo trzeba czekać na pierwszy wynik?

Odkrycie na Apojedyncza domena to zazwyczaj minuty. Najwolniejszą częścią jest udowodnienie własności domeny, ponieważ zwykle zależy to od kogoś innego.

Czy skanowanie coś uszkodzi?

Ocena zewnętrzna ma w przeważającej mierze charakter pasywny i ma niewielki wpływ. Aktywne testowanie aplikacji internetowych jest wyjątkiem i powinno być przeprowadzane celowo, na posiadanych systemach, najlepiej poza godzinami szczytu.

Czy możemy przeskanować domenę, której nie jesteśmy właścicielem?

Nie i powinieneś być podejrzliwy w stosunku do każdego narzędzia, które na to pozwalaTy. Weryfikacja własności jest funkcją, a nie przeszkodą.