Керування поверхнею атаки: повний посібник

Управління поверхнею атак (ASM) - це практика пошуку всього, що ваша організація надає в Інтернеті, оцінювання кожної з цих речей на наявність слабких місць і спостереження за змінами. Важкою частиною рідко є оцінка. Це знання того, що ти маєш.

Більшість організацій можуть назвати свій головний веб-сайт і свій продукт. Набагато менше людей можуть назвати кожен субдомен, кожне проміжне середовище, кожнесервер, який підрядник створив три роки тому, і кожен сертифікат, термін дії якого скоро закінчиться. Зловмисникам не потрібно, щоб ви знали. Їм потрібен лише один із них, щоб бути слабкими.

У цьому посібнику пояснюється, що таке поверхня атаки, які інструменти ASM насправді перевіряють і чому джерело вашого списку активів вирішує, чи варто щось із нього прочитати.

Що таке поверхня атаки?

Ваша поверхня для атаки - це все, до чого може дотягнутися стороння особа та з чим взаємодіятивсе, що розкриває інформацію про вас. На практиці це означає домени та субдомени, веб-додатки, API, поштові сервери, відкриті порти та служби, що стоять за ними, сертифікати TLS, записи DNS і хмарні ресурси з публічними кінцевими точками.

Конкретний приклад

Візьмемо компанію з вісімдесяти людей з одним товаром.

Вони знають про company.com і app.company.com. Їх поверхня для атаки також включає blog.company.com на хостініхто не ввійшов на платформу після того, як залишився джерело вмісту, staging.company.com, який мав бути тимчасовим, vpn.company.com, що вказує на пристрій, який перестав отримувати оновлення, запис DNS для old-crm.company.com, який вказує на хмарну службу, яку компанія скасувала, і записи пошти, які дозволяють будь-кому надсилати електронні листи, нібито з домену.

Ніщо з цього не є незвичайним. Це просто те, що відбувається, коли організація працює длякілька років.

Зовнішнє проти внутрішнього

Керування поверхнею атаки означає перегляд ззовні – те, що хтось у загальнодоступному Інтернеті може побачити та отримати доступ без облікових даних. Це навмисне бачення зловмисника.

Внутрішні активи, ноутбуки співробітників і все, що стоїть за корпоративною мережею, - це окрема проблема, яка вирішується різними інструментами. ASM не охоплює їх, і інструмент, який стверджує, що виконує обидва, зазвичай виконує один із них поверхнево.

Чому цепродовжує рости

Поверхні атаки ростуть тихо, завдяки звичайній роботі:

Shadow IT. Команда реєструється в службі та вказує на неї субдомен.
Занедбана інфраструктура. Проекти закінчуються; Записи DNS переживають їх.
Еластичність хмари. Середовище створюється швидко й очищається повільно.
Придбання та підрядники. Ви успадковуєте домени, які не створювали.
Швидше розгортання. Більше випусків означає більше шансів для налаштуваннявпасти непомітно.

Результатом є розрив між тим, що організація думає, що вона має, і тим, що вона насправді викриває. ASM існує, щоб усунути цю прогалину.

Що таке керування поверхнею атаки?

Управління поверхнею атак - це безперервний процес виявлення активів, що підходять до Інтернету, оцінки їх безпеки та моніторингу їх зміни. Він відповідає на три запитання: що ми маємо, що з цим не так і що змінилосяз минулого разу.

Робота розбивається на чотири етапи:

Відкрийте для себе. Створіть інвентар активів, що виходять в Інтернет.
Інвентаризація. Вирішіть, які з них ваші, які важливі та кому вони належать.
Оцініть. Перевірте кожен ресурс на слабкі місця, неправильну конфігурацію та відомі вразливості.
Монітор. Повторно перевірте за розкладом, тому що постава погіршується між розгортаннями.

На першому етапі найбільша цінність і майже всі труднощіжити.

Звідки береться список активів і чому він вирішує все

Два інструменти можуть запускати ідентичні перевірки та створювати звіти абсолютно різної цінності, оскільки вони створювали свої списки активів різними способами.

Підхід перший: вгадування з Інтернету

Більшість інструментів ASM починаються з домену та визначають, що ще вам належить. Вони зчитують журнали прозорості сертифікатів, пасивні DNS-записи та загальнодоступні реєстраційні дані, а потім застосовують евристичні методи: аналогічніімена, спільні IP-адреси, відповідна інфраструктура.

Це справді корисно, знаходячи речі, про які ви не знали. Він також створює два передбачуваних режими відмови:

Активи, які не належать вам. Спільний хостинг, повторно використовуваний діапазон IP-адрес або подібне ім’я залучає інфраструктуру третьої сторони. Ваш звіт тепер містить дані про чужі сервери.
Активи, які він ніколи не знаходить. Усе, що не залишає публічного сліду, що відповідаєевристика залишається непомітною.

Перший режим невдачі – це той, який вбиває усиновлення. Як тільки інженер знаходить у звіті іноземні активи, кожне відкриття стає підозрілим, а інструмент, якому не можна довіряти, ігнорується. Це часто згадувана причина, чому команди відмовляються від платформ ASM.

Підхід другий: імпорт із вашого джерела правди

Альтернатива – припинити вгадувати та запитати систему, яка вже знає. Постачальник DNS кожної організації маєавторитетний список його зон і записів. Так само експорт файлу зони.

Якщо інвентаризація надходить із власного облікового запису DNS клієнта, актив третьої сторони не може відображатися в ньому. Список не є найкращим припущенням; це факт, взятий із системи запису. Ці два підходи доповнюють один одного, а не протистоять. Імпорт встановлює основну істину, а відкриття знаходить те, чого в ній не вистачає. Важливо те, що інструмент повідомляє вам, що є що, щоб ви знали, чи є даний актив тим, що ви задекларували, чи тим, що інструмент вважає вашим.

Що це означає на практиці

Коли [оцінюєте будь-який інструмент ASM] (/best-attack-surface-management-tools/), запитайте:

Чи можу я імпортувати ресурси з мого DNSпровайдер чи файл зони, чи він лише виводить їх?
Чи звіт показує мені, звідки походить кожен актив?
Що відбувається, коли це неправильно? Чи можу я видалити актив і зберегти це рішення?
Чи інструмент перевіряє, що я справді контролюю домен перед його скануванням?

Останнє питання важливіше, ніж здається на перший погляд. Інструмент, який сканує будь-який домен за запитом, - це служба розвідки для тих, хто запитує, а не продукт безпеки. Вимагання доказівправа власності - запис DNS, файл на сервері, мета-тег - це елемент керування, який розділяє ці два. Ми документуємо цей процес крок за кроком для восьми постачальників DNS, зокрема Cloudflare, AWS Route 53 і Azure DNS.

Що перевіряє ASM, дізнавшись про ваші активи

Одного разуіснує інвентаризація, оцінка охоплює кілька рівнів. Кожен відповідає на інше запитання і зазнає невдачі по-різному.

Конфігурація TLS і сертифіката

Чи є зашифровані з’єднання насправді безпечними: які версії протоколів увімкнено, які набори шифрів пропонуються, чи сертифікат дійсний, правильно прив’язаний і чи не закінчиться термін дії. Поширеними виявленнями є старі версії протоколів, які залишаються ввімкненими, термін дії сертифікатів закінчується без попередження та неповні ланцюжки сертифікатів, які розриваються на деяких клієнтах, а не на інших. Що детально розглядає сканування TLS.

Безпека HTTP та відомі вразливості

Чи веб-програми налаштовані захисно, і чи програмне забезпечення, що їх запускає, має відомі недоліки. Це стосується заголовків безпеки та технологій, виявлених у кожному з ниххост, а також зіставлення цих технологій і версій з опублікованими вразливими місцями – список CVE.

CVE - це загальнодоступний каталог безпеки з унікальним ідентифікатором. Зіставлення версій вашого програмного забезпечення з цим каталогом покаже вам, чи ви використовуєте щось із відомою, задокументованою слабкістю. Що детально розглядає сканування HTTP.

Відкриті порти та відкриті служби

Які мережеві порти відповідаютьІнтернет і те, що слухає за ними. Очікується веб-сервер на порту 443. База даних, служба віддаленого робочого столу або адміністративний інтерфейс, доступні з будь-якого місця, не є такими. Що докладно розглядається під час сканування портів.

Конфігурація DNS і підробка електронної пошти

Чи безпечно налаштовано DNS і чи може будь-хто надсилати електронну пошту, яка начебто надходить із вашого домену. Це стосується записів SPF, DKIM і DMARC дляавтентифікація пошти, MTA-STS і TLS-RPT для безпеки транспортування пошти, DNSSEC для цілісності DNS і конфігурація, яка може призвести до витоку вашого повного набору записів.

Відсутність автентифікації електронної пошти є одним з найпоширеніших знахідок і одним з найлегших для використання, оскільки це дає змогу переконливо здійснити фішинг проти ваших власних співробітників, клієнтів і постачальників. Що детально розглядає сканування DNS.

Репутація домену

Незалежно від того, чи відображаються ваші домени та адреси в списках блокування чи в каналах аналізу загроз. Проблеми з репутацією виявляються як збої в доставці задовго до того, як хтось дослідить причину.

Субдомени та забуті хости

Окрім перерахування, конкретний ризик тут полягає у захопленні субдоменів: запис DNS усе ще вказує на хмарну службу, яку організація більше не використовує. Будь-хто, хто претендує на цю назву служби, тепер контролює вміст, який надається з вашогосубдомен із вашим іменем і часто вашим сертифікатом.

ASM, керування вразливістю та тестування на проникнення

Вони постійно змішуються. Вони відповідають на різні питання:

	Питання, на яке воно відповідає	Сфера	Каденція
Керування поверхнею атаки	Що ми викриваємо, і це слабко?	Вихід в Інтернет, неавтентифікований	Безперервний або плановий
Управління вразливістю	Які відомі недоліки існують у нашому маєтку?	Внутрішні та зовнішні, часто аутентифіковані	Заплановано
Тестування на проникнення	Чи може досвідчений зловмисник потрапити?	Обсяг, узгоджений заздалегідь	Періодичні, зазвичай щорічні

АСМ найширший і наймілкіший. Тестування на проникнення єнайвужчий і найглибший. Керування вразливістю сидить між ними і зазвичай припускає, що ви вже знаєте, чим володієте - це припущення, що ASM існує, щоб завадити вам робити це.

Вони не є замінниками. ASM повідомляє пентестеру, де шукати.

EASM, CAASM та інші акроніми

Категорія зібрала чотири абревіатури, які вживаються так, ніби вони є взаємозамінні. Це не так, і різниця полягає переважно в тому, де надходять данівід.

EASM - зовнішнє управління поверхнею атаки. Вид ззовні, зовні облікові дані: те, до чого може отримати доступ хтось у публічному Інтернеті. Це те, що це посібник описує, і це те, що робить AYAsec.

CAASM – поверхневе керування атаками на кіберактиви. Створює один інвентар за вилучення даних про активи з інструментів, які ви вже використовуєте – агентів кінцевих точок, хмари облікові записи, постачальники ідентифікаційної інформації, CMDB - через їхні API. Воно бачить набагато більше ніж anзовнішнє сканування, внутрішні активи включено, але лише там, де є інструмент вже встановлено та звітує. Він не може побачити господаря, про якого йому ніхто не розповідав.

DRPS – цифрові послуги захисту від ризиків. Стежить за тим, що відбувається за межами вашого інфраструктура: витік облікових даних, схожі домени, зареєстровані для імітації ви, ваш бренд з’являється там, де не слід.

CTEM - безперервне керування загрозами. Не є категорією продукту в все. Це модель програми - охоплення, виявлення, пріоритезація, перевірка, мобілізація - а наведені вище інструменти – це те, що ви б використовували в ньому. Продавець продає вас "платформа CTEM" продає вам її частину.

Коротка версія: EASM знаходить те, про що ви не знали, що розкрили, CAASM організовує те, що ви вже знаєте, що володієте, а DRPS спостерігає за тим, що роблять інші люди з вашим ім'ям. Більші організації зрештою керують кількома. Менші зазвичай починаютьз зовнішнім виглядом, тому що там немає активів пам'ятає є.

Як виконати перше сканування поверхні атаки

Незалежно від того, який інструмент ви використовуєте, послідовність однакова.

1. Почніть з одного домену. Ваш основний домен, а не повний маєток. Сьогодні вам потрібен результат, а не проект.

2. Доведіть, що ви ним володієте. Будь-який надійний інструмент запитає підтвердження перед скануванням - як правило, запис DNS TXT, файл за відомим шляхом або мета-тег надомашня сторінка. Очікуйте, що цей крок займе найдовше, тому що часто потрібно запитати того, хто адмініструє DNS.

3. Виконайте пошук. Ви отримаєте список субдоменів і пов’язаних хостів. Прочитайте це перш за все. Першим справжнім сюрпризом для більшості команд є не вразливість; це актив, про який вони забули.

4. Згрупуйте те, що має значення. Не все, що ви знайдете, заслуговує однакової уваги. Відокремте виробництво від експериментів.

5. Скануйте і читайтерезультати за ступенем серйозності, а не за кількістю. Тридцять попереджень заголовка низького рівня серйозності мають менше значення, ніж одна розкрита база даних.

6. Заплануйте це. Одне сканування є знімком. Цінність полягає в порівнянні сканувань.

Те, як це виглядає щодня, залежить від команди: див. команди безпеки і постачальники керованих послуг.

В AYAsec це виконується як виявлення в домені, а потім сканування активів, які ви зберігаєте. Активи також можна імпортувати безпосередньо з Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner або Contabo або із завантаженого файлу зони. Керований робочий процес покроково описано в документах.
Кожен тип сканування входить до кожного плану, зокремабезкоштовний. Запустіть своє перше сканування

Загальні висновки та їх значення

Така сама жменька проблем пояснює більшість того, що виявляється під час першого сканування.

Ризик захоплення субдомену. Запис DNS, що вказує на службу, якою ви більше не користуєтеся. Ступінь тяжкості: висока. Виправити, видаливши запис.

Увімкнено застарілі версії протоколу TLS. Старі версії залишаються для сумісності та рідко потрібні. Ступінь тяжкості: середня, іце тягне вниз кожну схему оцінювання. Виправлення в конфігурації сервера.

Відсутній або неправильно налаштований DMARC. Без нього будь-хто може надсилати пошту, яка нібито надходить із вашого домену. Серйозність: висока, і це організаційний ризик, а не технічний. Виправити, опублікувавши запис, починаючи з режиму моніторингу.

Адміністративний сервіс, відкритий для Інтернету. Віддалений робочий стіл, порт бази даних, консоль керування. Серйозність: критична. Обмежитиза IP-адресою або розмістіть його за VPN.

Термін дії сертифіката наближається. Це не вразливість, а самостійний збій у передбачувану дату.

Як часто потрібно сканувати?

Безпека тихо деградує. Заголовок зникає під час розгортання. Термін дії сертифіката закінчується. Протокол буде повторно ввімкнено, щоб виправити скаргу щодо сумісності. Нічого з цього не оголошено, і нічого з цього не порушує видимо. Ця поступова ерозія є причиною того, що одноразова оцінка погано старіє. Практична відповідь залежить від того, як часто ви розгортаєте: щотижневе повторне сканування є розумною базою для стабільного майна, щоденне доцільне, якщо ви часто відправляєте, і що важливіше, ніж інтервал, це те, що комусь повідомляють, коли оцінка падає, а не йти і дивитися. Дізнайтеся, як побудувати доказовий слід виправлення.

Де це відображаєтьсярегулювання ЄС

Тепер два закони ЄС говорять різними словами, що ви повинні знати, що ти біжиш.

NIS2 (Директива (ЄС) 2022/2555) повинні були бути записані в національне законодавство до 17 жовтня 2024 року. Стаття 21 перераховує заходи з управління ризиками, які мають вжити основні та важливі організації, і серед них – усунення вразливостей і безпека ланцюга поставок. Ні те, ні інше можливо для господаря ніхтозаписав.

DORA (Регламент (ЄС) 2022/2554) застосовується з 17 січня 2025 року для банків, страховиків, інвестиційних компаній та платіжні установи, що працюють в ЄС. Стаття 8 більш пряма: фінансова організації повинні ідентифікувати, класифікувати та документувати свою інформацію та активи ІКТ, зіставити критичні з них, включаючи їхню конфігурацію та їхні залежності, а також переглянути цю документацію нахоча б раз на рік.

Прочитайте цю вимогу порівняно з попереднім розділом про те, куди входить список активів від. Інвентаризація, складена на підставі висновку, є документом, запис якого не можна захистити за записом, тому що ви не можете сказати, чому в ньому є кожен рядок або хто це вирішив твоя. Інвентаризацію, взяту з зони DNS, якою ви керуєте, можна пояснити хтось питає.

Що це не означає. AYAsec не є інструментом відповідності та не є таким виробляти атестацію. Жоден сканер не забезпечує відповідності жодному із законів, і a продавець, який має на увазі інше, продає вам щось. Що сканування виробляє датовані докази того, що було відкрито та в якому стані воно перебувало - така річ ревізор просить, і така річ, яку нудно збирати вручну.

Часті запитання

Управління поверхнею атаки таке саме, як EASM?

EASM - зовнішнє управління поверхнею атаки - цебільш точний термін для зовнішнього перегляду. На практиці більшість інструментів, що продаються як ASM, є EASM. Якщо постачальник має на увазі щось ширше, він повинен це сказати.

Чи потрібно нам це, якщо ми вже запускаємо сканування вразливостей?

Сканування вразливостей повідомляє вам про недоліки в активах, на які ви його вказуєте. ASM повідомляє, які активи існують. Якщо ваш інвентар неповний, ваше сканування також.

Скільки часу потрібно, щоб отримати перший результат?

Відкриття на аодин домен зазвичай становить хвилин. Повільна частина - це підтвердження права власності на домен, тому що це зазвичай залежить від когось іншого.

Чи може сканування щось зламати?

Зовнішнє оцінювання є переважно пасивним або маловпливовим. Активне тестування веб-додатків є винятком, і його слід проводити свідомо, на системах, якими ви володієте, в ідеалі поза годинами пік.

Чи можемо ми сканувати домен, який нам не належить?

Ні, і ви повинні з підозрою ставитися до будь-якого інструменту, який дозволяєви. Перевірка права власності – це функція, а не перешкода.