Správa útočnej plochy: kompletný sprievodca

Správa útočnej plochy (ASM) je postup, pri ktorom nájdete všetko, čo vaša organizácia vystavuje na internete, posúdite slabiny každého aktíva a sledujete zmeny. Najťažšia časť zvyčajne nie je samotné posúdenie, ale vedieť, čo vlastníte.

Väčšina organizácií pozná svoju hlavnú webstránku a produkt. Oveľa menej ich pozná každú subdoménu, testovacie prostredie, server vytvorený dodávateľom pred tromi rokmi a certifikát, ktorému čoskoro skončí platnosť. Útočník to vedieť nemusí. Stačí mu jedno slabé miesto.

Táto príručka vysvetľuje, čo je útočná plocha, čo ASM nástroje kontrolujú a prečo zdroj zoznamu aktív rozhoduje o tom, či sa oplatí výsledky čítať.

Čo je útočná plocha?

Útočná plocha je všetko, k čomu sa môže dostať človek zvonka a s čím môže pracovať, plus všetko, čo o vás prezrádza informácie. V praxi to znamená domény a subdomény, webové aplikácie, API, poštové servery, otvorené porty a služby za nimi, TLS certifikáty, DNS záznamy a cloudové zdroje s verejnými endpointmi.

Konkrétny príklad

Predstavte si firmu s osemdesiatimi ľuďmi a jedným produktom.

Pozná company.com a app.company.com. Jej útočná plocha však obsahuje aj blog.company.com na hostovanej platforme, do ktorej sa nikto neprihlásil od odchodu obsahového manažéra, staging.company.com, ktorý mal byť dočasný, vpn.company.com smerujúcu na neaktualizované zariadenie, DNS záznam old-crm.company.com smerujúci na zrušenú cloudovú službu a poštové záznamy, ktoré umožňujú posielať správy vyzerajúce ako odoslané z domény.

Nič z toho nie je výnimočné. Je to prirodzený výsledok niekoľkých rokov prevádzky.

Externá verzus interná plocha

Správa útočnej plochy znamená pohľad zvonka - čo môže verejný internet vidieť a dosiahnuť bez prihlasovacích údajov. Je to zámerne pohľad útočníka.

Interné aktíva, notebooky zamestnancov a čokoľvek za firemnou sieťou sú iný problém pre iné nástroje. ASM ich nepokrýva; nástroj, ktorý tvrdí opak, často robí jednu z týchto vecí len povrchne.

Prečo stále rastie

Útočná plocha rastie potichu bežnou prácou:

Shadow IT. Tím si objedná službu a nasmeruje na ňu subdoménu.
Opustená infraštruktúra. Projekty skončia, DNS záznamy zostanú.
Cloudová pružnosť. Prostredia vznikajú rýchlo a upratujú sa pomaly.
Akvizície a dodávatelia. Prevezmete domény, ktoré ste nevytvorili.
Rýchle nasadzovanie. Viac vydaní znamená viac príležitostí, aby sa nastavenie stratilo bez povšimnutia.

Vzniká rozdiel medzi tým, čo si organizácia myslí, že má, a tým, čo skutočne vystavuje. ASM má tento rozdiel uzavrieť.

Čo je správa útočnej plochy?

Správa útočnej plochy je nepretržité objavovanie internetových aktív, posudzovanie ich bezpečnosti a sledovanie zmien. Odpovedá na tri otázky v poradí: čo máme, čo je na tom zlé a čo sa zmenilo od minula.

Práca sa delí na štyri kroky:

Objavte. Zostavte inventár aktív dostupných z internetu.
Zaraďte. Rozhodnite, ktoré aktíva sú vaše, ktoré sú dôležité a kto ich vlastní.
Posúďte. Skontrolujte slabiny, nesprávne konfigurácie a známe zraniteľnosti.
Monitorujte. Kontrolu opakujte podľa plánu, pretože stav sa medzi nasadeniami zhoršuje.

Prvý krok je miestom, kde je najviac hodnoty aj takmer všetky ťažkosti.

Odkiaľ pochádza zoznam aktív a prečo rozhoduje o všetkom

Dva nástroje môžu vykonať rovnaké kontroly a vytvoriť úplne odlišne hodnotné reporty, pretože zoznam aktív zostavili iným spôsobom.

Prístup jeden: hádanie z internetu

Väčšina ASM nástrojov začne doménou a odhaduje, čo k nej ešte patrí. Číta Certificate Transparency, pasívne DNS a verejné registračné údaje a používa heuristiky: podobné názvy, zdieľané IP adresy a rovnakú infraštruktúru.

Takto nájde veci, o ktorých ste nevedeli, čo je užitočné. Vytvára však dve predvídateľné chyby:

Aktíva, ktoré nie sú vaše. Zdieľaný hosting, znovu použitý rozsah IP alebo podobný názov pridá infraštruktúru tretej strany.
Aktíva, ktoré nikdy nenájde. Čokoľvek bez verejnej stopy zodpovedajúcej heuristike zostane neviditeľné.

Prvá chyba ničí dôveru. Keď inžinier nájde v reporte cudzie aktíva, začne pochybovať o každom náleze. Nástroj, ktorému sa neverí, sa nepoužíva.

Prístup dva: import z vášho zdroja pravdy

Alternatívou je prestať hádať a opýtať sa systému, ktorý to už vie. DNS poskytovateľ každej organizácie má autoritatívny zoznam zón a záznamov. To isté platí pre export zónového súboru.

Ak inventár pochádza z vlastného DNS účtu zákazníka, aktívum tretej strany sa doň nedostane. Zoznam nie je najlepší odhad, ale fakt zo systému záznamu.

Tieto prístupy sa dopĺňajú. Import určí základ a objavovanie nájde, čo v ňom chýba. Dôležité je, aby nástroj ukázal, ktoré je ktoré - aby ste vedeli, či aktívum pochádza z vášho záznamu alebo z presvedčenia nástroja.

Čo to znamená v praxi

Pri hodnotení ASM nástroja sa pýtajte:

Môžem importovať aktíva od svojho DNS poskytovateľa alebo zo zónového súboru?
Ukazuje report, odkiaľ každé aktívum pochádza?
Čo sa stane, keď sa pomýli? Môžem aktívum odstrániť a toto rozhodnutie zostane?
Overí nástroj, že doménu skutočne ovládam, skôr než ju začne skenovať?

Posledná otázka je dôležitejšia, než sa zdá. Nástroj, ktorý na požiadanie preskenuje ľubovoľnú doménu, je prieskumná služba, nie bezpečnostný produkt. Dôkaz vlastníctva - DNS záznam, súbor na serveri alebo meta tag - je kontrola, ktorá ich oddeľuje. Postup dokumentujeme pre osem DNS poskytovateľov vrátane Cloudflare, AWS Route 53 a Azure DNS.

Čo ASM kontroluje, keď pozná vaše aktíva

Keď inventár existuje, posúdenie pokrýva viac vrstiev. Každá odpovedá na inú otázku a zlyháva iným spôsobom.

TLS a konfigurácia certifikátov

Či sú šifrované spojenia skutočne bezpečné: ktoré verzie protokolov sú zapnuté, aké šifry sa ponúkajú, či je certifikát platný, správne zreťazený a či mu čoskoro neskončí platnosť.

Bežnými nálezmi sú staré verzie protokolov, certifikáty bez upozornenia na expiráciu a neúplné reťazce, ktoré zlyhajú len niektorým klientom. Čo TLS sken kontroluje podrobne.

HTTP bezpečnosť a známe zraniteľnosti

Či sú webové aplikácie nastavené obranne a či softvér obsahuje známe chyby. Kontrola zahŕňa bezpečnostné hlavičky, zistené technológie a porovnanie verzií s verejným zoznamom CVE.

CVE je verejne evidovaná chyba s jedinečným identifikátorom. Porovnanie verzie so zoznamom ukáže, či používate známe a zdokumentované slabé miesto. Čo HTTP sken kontroluje podrobne.

Otvorené porty a vystavené služby

Ktoré sieťové porty odpovedajú z internetu a čo za nimi počúva. Web na porte 443 je očakávaný. Databáza, vzdialená plocha alebo administračné rozhranie dostupné odkiaľkoľvek nie. Čo kontroluje sken portov.

DNS konfigurácia a podvrhnutie e-mailu

Či je DNS nastavené bezpečne a či môže niekto posielať e-mail, ktorý vyzerá ako od vašej domény. Kontrola zahŕňa SPF, DKIM a DMARC, MTA-STS a TLS-RPT, DNSSEC a nastavenia, ktoré môžu odhaliť celú sadu záznamov.

Chýbajúca autentizácia e-mailu patrí medzi najčastejšie nálezy a najľahšie zneužiteľné chyby, pretože umožňuje presvedčivý phishing proti zamestnancom, zákazníkom aj dodávateľom. Čo kontroluje DNS sken.

Reputácia domény

Či sa vaše domény a adresy nachádzajú na blocklistoch alebo vo feedoch threat intelligence. Problémy s reputáciou sa prejavia nedoručovaním skôr, než niekto začne hľadať príčinu.

Subdomény a zabudnuté hosty

Konkrétnym rizikom je prevzatie subdomény: DNS záznam stále smeruje na cloudovú službu, ktorú organizácia už nepoužíva. Ktokoľvek, kto si teraz nárokuje názov služby, môže ovládať obsah zobrazovaný pod vašou subdoménou, vaším menom a často aj certifikátom.

ASM, správa zraniteľností a penetračné testovanie

Tieto pojmy sa často zamieňajú, ale odpovedajú na odlišné otázky:

	Otázka	Rozsah	Frekvencia
Správa útočnej plochy	Čo vystavujeme a je to slabé?	Internet, bez autentizácie	Nepretržite alebo podľa plánu
Správa zraniteľností	Aké známe chyby sú v našom prostredí?	Interné aj externé, často s autentizáciou	Podľa plánu
Penetračné testovanie	Dokáže sa skúsený útočník skutočne dostať dnu?	Vopred dohodnutý rozsah	Pravidelne, zvyčajne ročne

ASM je najširšie a najplytšie. Penetračný test je najužší a najhlbší. Správa zraniteľností je medzi nimi a často predpokladá, že už viete, čo vlastníte - práve tento predpoklad má ASM odstrániť.

Nie sú to náhrady. ASM penetračnému testerovi povie, kde hľadať.

EASM, CAASM a ostatné skratky

Kategória nazbierala štyri skratky, ktoré sa používajú, akoby boli zameniteľné. Nie sú; rozdiel je najmä v zdroji dát.

EASM - external attack surface management. Pohľad zvonka bez prihlasovacích údajov: čo môže dosiahnuť verejný internet. Je to obsah tejto príručky a to, čo robí AYAsec.

CAASM - cyber asset attack surface management. Zostavuje inventár z nástrojov, ktoré už používate - endpoint agentov, cloudových účtov, identity providerov a CMDB - cez ich API. Vidí oveľa viac než vonkajší sken, ale iba tam, kde už nástroj existuje a hlási. Host, o ktorom mu nikto nepovedal, neuvidí.

DRPS - digital risk protection services. Sleduje dianie mimo vašej infraštruktúry: uniknuté prihlasovacie údaje, podobné domény registrované na vydávanie sa za vás a váš brand na nesprávnom mieste.

CTEM - continuous threat exposure management. Nie je to kategória produktu, ale model programu - scope, discover, prioritize, validate, mobilize. Nástroje vyššie sú veci, ktoré v ňom použijete.

Stručne: EASM nájde, čo ste nevedeli, že vystavujete, CAASM usporiada, čo už poznáte, a DRPS sleduje, čo s vaším menom robia iní. Menšie organizácie zvyčajne začínajú pohľadom zvonka, pretože práve tam sú zabudnuté aktíva.

Ako spustiť prvý sken útočnej plochy

Bez ohľadu na nástroj je postup rovnaký.

1. Začnite jednou doménou. Primárnou doménou, nie celým prostredím. Chcete výsledok dnes, nie projekt.

2. Preukážte vlastníctvo. Dôveryhodný nástroj si pred skenom vyžiada DNS TXT záznam, súbor na známej ceste alebo meta tag na domovskej stránke.

3. Nechajte prebehnúť objavovanie. Dostanete zoznam subdomén a súvisiacich hostov. Najprv si prečítajte tento zoznam; prvým prekvapením býva zabudnuté aktívum, nie zraniteľnosť.

4. Zoskupte to dôležité. Oddeľte produkciu od experimentov.

5. Čítajte nálezy podľa závažnosti, nie podľa počtu. Tridsať varovaní s nízkou závažnosťou je menej dôležitých než jedna databáza dostupná z internetu.

6. Nastavte plán. Jeden sken je snímka. Hodnota je v porovnaní medzi skenmi.

V AYAsec to znamená najprv Discovery na doméne a potom sken aktív, ktoré si ponecháte. Aktíva môžete importovať aj priamo z Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner alebo Contabo alebo zo zónového súboru. Dokumentácia vedie krok za krokom.

Každý typ skenu je súčasťou každého plánu vrátane bezplatného. Spustite prvý sken

Bežné nálezy a ich význam

Riziko prevzatia subdomény. DNS záznam smeruje na nepoužívanú službu. Závažnosť: vysoká. Oprava: odstráňte záznam.

Zapnuté zastarané verzie TLS. Staré verzie zostávajú kvôli kompatibilite. Závažnosť: stredná. Oprava: zmeňte konfiguráciu servera.

Chýbajúci alebo nesprávny DMARC. Bez neho môže ktokoľvek posielať e-mail, ktorý vyzerá ako z vašej domény. Závažnosť: vysoká. Oprava: publikujte záznam najprv v monitorovacom režime.

Administračná služba vystavená na internete. Vzdialená plocha, databázový port alebo konzola. Závažnosť: kritická. Oprava: obmedzte IP adresami alebo VPN.

Certifikát blízko expirácie. Nie je to zraniteľnosť, ale predvídateľný výpadok, ktorému sa dá predísť.

Ako často skenovať?

Bezpečnostný stav sa potichu zhoršuje. Pri nasadení zmizne hlavička, certifikát sa priblíži k expirácii alebo sa kvôli kompatibilite znovu zapne protokol.

Preto jednorazové posúdenie rýchlo starne. Pri stabilnom prostredí je rozumný základ týždenný sken, pri častom vydávaní denný. Dôležitejšie než interval je, aby niekto dostal upozornenie pri poklese známky a nemusel výsledok hľadať. Pozrite si, ako vytvoriť dôkaznú stopu nápravy.

Kde sa to objavuje v regulácii EÚ

Dva právne predpisy EÚ hovoria rôznymi slovami, že musíte vedieť, čo prevádzkujete.

NIS2 (smernica (EÚ) 2022/2555) vyžaduje riadenie rizík vrátane riešenia zraniteľností a bezpečnosti dodávateľského reťazca. Ani jedno nie je možné pre host, ktorý nikde nie je zapísaný.

DORA (nariadenie (EÚ) 2022/2554) platí pre finančné subjekty od 17. januára 2025. Článok 8 vyžaduje identifikovať, klasifikovať a dokumentovať informačné a IKT aktíva, zmapovať kritické aktíva a dokumentáciu aspoň raz ročne preskúmať.

Porovnajte to so zdrojom zoznamu aktív. Inventár zostavený odhadom sa obhajuje ťažko, pretože neviete vysvetliť každý riadok. Inventár z DNS zóny, ktorú ovládate, sa vysvetliť dá.

Čo to neznamená. AYAsec nie je nástroj na súlad a nevydáva atestáciu. Žiadny skener vás neurobí v súlade so zákonom. Výsledkom je datovaný dôkaz o tom, čo bolo vystavené a v akom stave - presne to, na čo sa auditor pýta.

Často kladené otázky

Je správa útočnej plochy to isté ako EASM?

EASM je presnejší názov pre pohľad iba zvonka. Väčšina nástrojov predávaných ako ASM je v praxi EASM.

Potrebujeme to, ak už používame skenovanie zraniteľností?

Skenovanie zraniteľností hovorí o aktívach, na ktoré ho nasmerujete. ASM hovorí, ktoré aktíva existujú. Ak je inventár neúplný, neúplné je aj skenovanie.

Ako dlho trvá prvý výsledok?

Objavovanie jednej domény zvyčajne trvá minúty. Pomalšia býva kontrola vlastníctva, pretože závisí od správcu DNS.

Pokazí sken niečo?

Externé posúdenie je prevažne pasívne alebo má malý vplyv. Aktívne testovanie webovej aplikácie je výnimka a má sa spúšťať zámerne iba proti vlastným systémom.

Môžeme skenovať doménu, ktorú nevlastníme?

Nie. Overenie vlastníctva je vlastnosť, nie prekážka.