攻击面管理：完整指南
攻击面管理 (ASM) 是查找组织暴露在互联网上的所有内容、评估每个内容的弱点并观察它们的变化的实践。 困难的部分很少是评估。它是知道你拥有什么。
大多数组织都可以命名他们的主要网站和产品。能够命名每个子域、每个暂存环境、每个服务器是三年前成立的承包商，以及所有即将过期的证书。攻击者不需要您知道。他们只需要其中之一就可以变弱。
本指南解释了什么是攻击面、ASM 工具实际检查的内容以及为什么资产列表的来源决定其中是否值得阅读。
什么是攻击面？
您的攻击面是外部人员可以到达并与之交互的一切，另外一切透露有关您的信息的内容。实际上，这意味着域和子域、Web 应用程序、API、邮件服务器、开放端口及其背后的服务、TLS 证书、DNS 记录以及具有公共端点的云资源。
一个具体的例子
以一家拥有 80 名员工的公司为例，他们只生产一种产品。
他们了解 company.com 和 app.company.com。他们的攻击面还包括托管的 blog.company.com自内容线索离开以来，没有人登录过该平台，staging.company.com 是临时的，vpn.company.com 指向停止接收更新的设备，old-crm.company.com 的 DNS 记录指向公司取消的云服务，以及允许任何人发送看似来自域的电子邮件的邮件记录。
这些都不足为奇。这就是当一个组织为一个组织运作时所发生的情况。几年了。
外部与内部
攻击面管理意味着来自外部的视图 - 公共互联网上的某人无需凭据即可看到和访问的内容。这是故意的攻击者的视角。
内部资产、员工笔记本电脑以及公司网络背后的任何东西都是由不同工具处理的不同问题。 ASM 不涵盖它们，而声称能同时完成这两项任务的工具通常只是浅薄地完成其中一项任务。
为什么会这样不断增长
通过日常工作，攻击面悄然增长：
- 影子 IT。 团队注册一项服务并为其指定一个子域。
- 废弃的基础设施。 项目结束； DNS 记录的寿命比它们长。
- 云弹性。 环境创建速度快，清理速度慢。
- 收购和承包商。 您继承并非您创建的域。
- 更快的部署。 更多版本意味着设置有更多机会在没有人注意到的情况下被丢弃。
结果是组织认为自己拥有的东西与实际暴露的东西之间存在差距。 ASM 的存在就是为了缩小这一差距。
什么是攻击面管理？
攻击面管理是发现面向互联网的资产、评估其安全性并监控其变化的持续过程。它按顺序回答三个问题：我们有什么、有什么问题以及发生了什么变化自从上次以来。
工作分为四个步骤：
- 发现。 建立面向互联网的资产清单。
- 库存。 决定哪些是您的、哪些重要以及谁拥有它们。
- 评估。 检查每项资产是否存在弱点、配置错误和已知漏洞。
- 监控。 按计划重新检查，因为部署之间的状态会降低。
第一步是大部分价值和几乎所有困难的地方居住。
资产列表从何而来，为什么它决定一切
两个工具可以运行相同的检查并生成完全不同价值的报告，因为它们以不同的方式构建资产列表。
方法一：网上猜测
大多数 ASM 工具都从一个域开始，并推断出其他属于您的内容。他们读取证书透明度日志、被动 DNS 记录和公共注册数据，然后应用启发式方法：类似名称、共享 IP 地址、匹配的基础设施。
这会发现您不知道的事情，这确实很有用。它还产生两种可预测的故障模式：
- 不属于您的资产。 共享托管、重复使用的 IP 范围或类似名称会引入第三方基础设施。您的报告现在包含有关其他人的服务器的调查结果。
- 它永远找不到的资产。 任何不会留下与启发式方法是不可见的。
第一种失败模式会阻碍采用。一旦工程师在报告中发现外国资产，每项发现都会变得可疑，并且不受信任的工具会被忽略。这是团队放弃 ASM 平台的一个常见原因。
方法二：从真实来源导入
另一种选择是停止猜测并询问已经知道的系统。每个组织的 DNS 提供商都拥有一个其区域和记录的权威列表。区域文件导出也是如此。
如果库存来自客户自己的 DNS 帐户，则第三方的资产不能出现在其中。该列表并非最佳猜测；这是来自记录系统的事实。 这两种方法是互补的而不是对立的。导入建立了基本事实，发现发现了其中缺失的东西。 重要的是，该工具会告诉您哪个是哪个 - 这样您就知道给定的资产是您声明的资产还是该工具认为属于您的资产。
这在实践中意味着什么
评估任何 ASM 工具 时，询问：
- 我可以从我的 DNS 导入资源吗提供程序或区域文件，还是仅推断它们？
- 报告是否显示每项资产的来源？
- 错误时会发生什么？我可以删除资产并保留该决定吗？
- 该工具是否会在扫描之前验证我是否确实控制某个域？
最后一个问题比它最初出现的时候更重要。根据请求扫描任何域的工具是为任何提出请求的人提供的侦察服务，而不是安全产品。需要证明所有权 - DNS 记录、服务器上的文件、元标记 - 是将两者分开的控制。我们逐步记录了八个 DNS 提供商的流程，包括 Cloudflare、AWS Route 53 和 Azure DNS。
ASM 了解您的资产后会检查什么
一旦库存有，考核有几层。每个人都回答不同的问题并以不同的方式失败。
TLS 和证书配置
加密连接是否真正安全：启用了哪些协议版本、提供了哪些密码套件、证书是否有效、链接正确且不会过期。 常见的发现是旧协议版本保持启用状态、证书在没有警告的情况下过期、以及不完整的证书链在某些客户端上中断，而在其他客户端上则不然。 TLS 扫描的详细内容。
HTTP 安全和已知漏洞
Web 应用程序是否进行了防御性配置，以及运行它们的软件是否存在已知缺陷。这涵盖了安全标头、每个标头上检测到的技术主机，并将这些技术和版本与已发布的漏洞（CVE 列表）进行匹配。
CVE 是一种公开分类的安全缺陷，具有唯一标识符。将您的软件版本与该目录进行匹配可以告诉您您正在运行的软件是否存在已知的、记录在案的弱点。 HTTP 扫描的详细内容。
开放端口和公开服务
哪些网络端口从互联网以及它们背后的监听者。预计端口 443 上有一个 Web 服务器。可从任何地方访问的数据库、远程桌面服务或管理界面则不然。 端口扫描的详细内容。
DNS 配置和电子邮件欺骗
DNS 配置是否安全，以及是否任何人都可以发送看似来自您的域的电子邮件。这包括 SPF、DKIM 和 DMARC 记录邮件身份验证、用于邮件传输安全的 MTA-STS 和 TLS-RPT、用于 DNS 完整性的 DNSSEC 以及可能泄露完整记录集的配置。
缺少电子邮件身份验证是最常见的发现之一，也是最容易被利用的发现之一，因为它可以令人信服地针对您自己的员工、客户和供应商进行网络钓鱼。 DNS 扫描的详细内容。
域名声誉
您的域和地址是否出现在阻止列表中或威胁情报源中。早在人们调查原因之前，声誉问题就以交付失败的形式出现。
子域名和被遗忘的主机
除了枚举之外，这里的具体风险是子域接管：DNS 记录仍然指向组织不再使用的云服务。任何声称该服务名称现在控制由您提供的内容的人子域名，包含您的姓名，通常还有您的证书。
ASM、漏洞管理和渗透测试
这些经常被混淆。他们回答不同的问题：
| 提问即回答 | 范围 | 节奏 | |
|---|---|---|---|
| 攻击面管理 | 我们暴露了什么？它是否薄弱？ | 面向互联网，未经身份验证 | 连续或预定 |
| 漏洞管理 | 我们的资产存在哪些已知缺陷？ | 内部和外部，经常经过身份验证 | 预定 |
| 渗透测试 | 熟练的攻击者真的可以进入吗？ | 范围，事先商定 | 定期，通常每年 |
ASM 是最宽、最浅的。渗透测试是最窄和最深。漏洞管理位于它们之间，通常假设您已经知道自己拥有什么--这是 ASM 存在的假设，旨在阻止您做出这种假设。
他们不是替代品。 ASM 告诉渗透测试人员去哪里寻找。
EASM、CAASM 和其他缩写词
该类别收集了四个缩写词，它们的使用方式就像 可互换。它们不是，区别主要在于 数据来了从。
EASM - 外部攻击面管理。 从外部看，没有 凭证：公共互联网上的某人可以访问的内容。就是这个 指南描述了，这就是 AYAsec 所做的。
CAASM - 网络资产攻击面管理。 通过以下方式构建一份清单 从您已经运行的工具中提取资产数据 - 端点代理、云 帐户、身份提供商、CMDB - 通过他们的 API。它看到的远不止这些 比由外向内扫描，包括内部资产，但仅限于有工具的地方 已经安装并报告。它看不到无人告诉它的主机。
DRPS - 数字风险保护服务。 观察您外部发生的情况 基础设施：泄露的凭据、注册冒充的相似域名 你，你的品牌出现在不应该出现的地方。
CTEM - 持续威胁暴露管理。 不是产品类别 全部。它是一个项目模型--范围、发现、优先排序、验证、动员-- 上面的工具是您将在其中使用的东西。卖给你的供应商 “一个CTEM平台”正在向您出售其中的一部分。
简短版本：EASM 发现您不知道的暴露内容，CAASM 整理您已经知道自己拥有的东西，而 DRPS 会观察其他人的行为 和你的名字。较大的组织最终会运行多个组织。较小的 通常开始从外部角度看，因为那是资产没人的地方 记得是。
如何运行第一次攻击面扫描
无论您使用哪种工具，顺序都是相同的。
1.从一个域名开始。 您的主域名，而不是完整的域名。今天你想要的是结果，而不是项目。
2.证明您拥有它。 任何可信的工具都会在扫描之前要求提供证明 - 通常是 DNS TXT 记录、已知路径上的文件或网络上的元标记主页。预计此步骤将花费最长的时间，因为这通常意味着询问管理 DNS 的人。
3.让发现运行。您将获得子域和相关主机的列表。在做其他事情之前先阅读它。对于大多数团队来说，第一个真正的惊喜不是漏洞，而是漏洞。这是他们已经忘记的资产。
4.对重要的事情进行分组。 并非您发现的所有内容都值得同等关注。生产与实验分开。
5.扫描阅读按严重性而非计数来显示结果。 30 个低严重性标头警告的重要性不及一个暴露的数据库。
6。将其列入计划。 单次扫描就是一个快照。该值存在于扫描之间的比较中。
在 AYAsec 中，这作为域上的发现运行，然后扫描您保留的资产。还可以直接从 Cloudflare、AWS Route 53、Azure DNS、Google Cloud DNS、DigitalOcean、GoDaddy、Hetzner 或 Contabo 或从上传的区域文件导入资产。指导工作流程是文档中的分步说明。
每个计划中都包含每种扫描类型，包括免费。 运行第一次扫描
常见发现及其含义
第一次扫描发现的大部分问题都是同样的少数问题。
子域接管风险。 指向您不再使用的服务的 DNS 记录。严重程度：高。通过删除记录来修复。
启用过时的 TLS 协议版本。保留旧版本是为了兼容，并且很少需要。严重程度：中等，并且它会拖累每个评分方案。修复服务器配置。
DMARC 缺失或配置错误。 如果没有它，任何人都可以发送看似来自您的域的邮件。严重性：高，这是一种组织风险，而不是技术风险。通过发布记录来修复，从监控模式开始。
暴露于互联网的管理服务。 远程桌面、数据库端口、管理控制台。严重性：严重。限制通过 IP 地址或将其置于 VPN 后面。
证书即将到期。 不是漏洞，而是在可预测的日期自行造成的中断。
您应该多久扫描一次？
安全态势悄然恶化。标头在部署中消失。证书即将到期。重新启用协议以修复兼容性问题。这些都没有被宣布，也没有任何明显的破坏。 这种逐渐侵蚀是一次性评估严重老化的原因。实际的答案取决于您部署的频率：每周重新扫描是稳定资产的合理基线，当您经常发货时，每天重新扫描是合适的，比间隔更重要的是当等级下降时有人被告知而不是必须去查看。 了解如何构建补救证据跟踪。
这出现在哪里欧盟法规
现在，两项欧盟法律用不同的措辞表示，您必须知道什么 你跑。
NIS2（指令（欧盟）2022/2555） 必须在 2024 年 10 月 17 日之前写入国家法律。第 21 条列出了 关键和重要实体必须采取的风险管理措施， 其中包括漏洞处理和供应链安全。两者都不是 对于主机无人可能已写下来。
DORA（法规（欧盟）2022/2554） 自 2025 年 1 月 17 日起适用于银行、保险公司、投资公司和 在欧盟运营的支付机构。第8条更直接：财务 实体必须识别、分类和记录其信息和 ICT 资产， 映射关键的，包括它们的配置和依赖关系，以及 查看该文档每年至少一次。
根据前面有关资产列表来源的部分阅读该要求 从。通过推理收集的清单是你无法辩护的文件 通过条目，因为你无法说出为什么每一行都在其中或者谁决定它是 你的。从您控制的 DNS 区域获取的清单可以解释为 有人问。
这意味着什么。 AYAsec 不是合规工具，也不 出具证明。没有任何扫描仪可以让您遵守任何法律，并且 暗示其他情况的供应商正在向您出售东西。扫描产生的是 过时的证据表明什么被暴露了以及它处于什么状态 - 那种事情 审计员要求的东西，以及手工组装起来很乏味的东西。
常见问题
攻击面管理与 EASM 相同吗？
EASM--外部攻击面管理--是更准确的术语是仅外部视图。实际上，大多数以 ASM 形式销售的工具都是 EASM。如果供应商的意思更广泛，他们应该这么说。
如果我们已经运行漏洞扫描，我们还需要这个吗？
漏洞扫描会告诉您所指向的资产中的缺陷。 ASM 告诉您存在哪些资产。如果您的库存不完整，那么您的扫描也不完整。
需要多长时间才能得到第一个结果？
发现于单个域通常是几分钟。缓慢的部分是证明域名所有权，因为它通常取决于其他人。
扫描会破坏任何东西吗？
外部评估绝大多数是被动的或影响力低的。主动 Web 应用程序测试是例外，应该针对您拥有的系统谨慎运行，最好是在高峰时间之外。
我们可以扫描不属于我们的域吗？
不，您应该对任何可以让您你。所有权验证是一项功能，而不是障碍。