Gerenciamento de superfície de ataque: o guia completo
O gerenciamento de superfície de ataque (ASM) é a prática de encontrar tudo o que sua organização expõe na Internet, avaliando cada uma dessas coisas em busca de pontos fracos e observando-as em busca de mudanças. A parte difícil raramente é a avaliação. É saber o que você tem.
A maioria das organizações pode nomear seu site principal e seu produto. Muito menos pessoas conseguem nomear cada subdomínio, cada ambiente de teste, cadaservidor, um empreiteiro criado há três anos e todos os certificados que estão prestes a expirar. Os invasores não precisam que você saiba. Eles só precisam de um desses para serem fracos.
Este guia explica o que é uma superfície de ataque, o que as ferramentas ASM realmente verificam e por que a fonte da sua lista de ativos decide se vale a pena ler alguma delas.
O que é uma superfície de ataque?
Sua superfície de ataque é tudo o que um estranho pode alcançar e interagir, além detudo o que revela informações sobre você. Na prática, isso significa domínios e subdomínios, aplicações web, APIs, servidores de e-mail, portas abertas e os serviços por trás delas, certificados TLS, registros DNS e recursos de nuvem com terminais públicos.
Um exemplo concreto
Consideremos uma empresa de oitenta pessoas com um produto.
Eles sabem sobre company.com e app.company.com. A superfície de ataque também inclui blog.company.com em um servidor hospedadoplataforma na qual ninguém fez login desde que o lead de conteúdo saiu, staging.company.com que era para ser temporário, vpn.company.com apontando para um dispositivo que parou de receber atualizações, um registro DNS para old-crm.company.com apontando para um serviço de nuvem que a empresa cancelou e registros de e-mail que permitem que qualquer pessoa envie e-mails que parecem vir do domínio.
Nada disso é incomum. É simplesmente o que acontece quando uma organização opera por umalguns anos.
Externo versus interno
O gerenciamento da superfície de ataque significa a visão externa – o que alguém na Internet pública pode ver e alcançar sem credenciais. É deliberadamente a perspectiva do atacante.
Ativos internos, laptops de funcionários e qualquer coisa por trás da rede corporativa são problemas diferentes, tratados por ferramentas diferentes. O ASM não os cobre, e uma ferramenta que afirma fazer as duas coisas geralmente está fazendo uma delas superficialmente.
Por quecontinua crescendo
As superfícies de ataque crescem silenciosamente, através do trabalho normal:
- Shadow IT. Uma equipe se inscreve em um serviço e aponta um subdomínio para ele.
- Infraestrutura abandonada. Fim dos projetos; Os registros DNS sobrevivem a eles.
- Elasticidade da nuvem. Os ambientes são criados rapidamente e limpos lentamente.
- Aquisições e contratantes. Você herda domínios que não criou.
- Implantação mais rápida. Mais versões significam mais chances de uma configuração sercair sem que ninguém perceba.
O resultado é uma lacuna entre o que uma organização pensa ter e o que realmente expõe. ASM existe para preencher essa lacuna.
O que é gerenciamento de superfície de ataque?
O gerenciamento da superfície de ataque é o processo contínuo de descoberta de ativos voltados para a Internet, avaliação de sua segurança e monitoramento de mudanças. Ele responde a três perguntas em ordem: o que temos, o que há de errado com ele e o que mudoudesde a última vez.
O trabalho se divide em quatro etapas:
- Descubra. Crie o inventário de ativos voltados para a Internet.
- Inventário. Decida quais deles são seus, quais são importantes e quem os possui.
- Avaliar. Verifique cada ativo em busca de pontos fracos, configurações incorretas e vulnerabilidades conhecidas.
- Monitore. Verifique novamente o cronograma, pois a postura piora entre as implantações.
O primeiro passo é onde reside a maior parte do valor e quase toda a dificuldadeao vivo.
De onde vem a lista de ativos e por que ela decide tudo
Duas ferramentas podem executar verificações idênticas e produzir relatórios de valores completamente diferentes, porque construíram suas listas de ativos de maneiras diferentes.
Abordagem um: adivinhar na internet
A maioria das ferramentas ASM começa com um domínio e infere o que mais pertence a você. Eles leem logs de transparência de certificados, registros DNS passivos e dados de registro público e, em seguida, aplicam heurísticas: semelhantenomes, endereços IP compartilhados, infraestrutura correspondente.
Isso encontra coisas que você não conhecia, o que é genuinamente útil. Também produz dois modos de falha previsíveis:
- Ativos que não são seus. Hospedagem compartilhada, um intervalo de IP reutilizado ou um nome semelhante atrai a infraestrutura de terceiros. Seu relatório agora contém descobertas sobre os servidores de outra pessoa.
- Ativos que ele nunca encontra. Qualquer coisa que não deixe um rastro público correspondente aoa heurística permanece invisível.
O primeiro modo de falha é aquele que mata a adoção. Quando um engenheiro encontra ativos estrangeiros em um relatório, cada descoberta se torna suspeita e uma ferramenta que não é confiável é ignorada. É um motivo comumente citado pelo qual as equipes abandonam as plataformas ASM.
Abordagem dois: importar da sua fonte de verdade
A alternativa é parar de adivinhar e perguntar ao sistema que já sabe. O provedor de DNS de cada organização possui umlista oficial de suas zonas e registros. O mesmo acontece com uma exportação de arquivo de zona.
Se o inventário vier da conta DNS do próprio cliente, o ativo de terceiros não poderá aparecer nele. A lista não é o melhor palpite; é um fato, retirado do sistema de registro. As duas abordagens são complementares e não opostas. A importação estabelece a verdade básica e a descoberta encontra o que está faltando nela. O que importa é que a ferramenta diga qual é qual - para que você saiba se um determinado ativo é algo que você declarou ou algo que a ferramenta acredita ser seu.
O que isso significa na prática
Ao avaliar qualquer ferramenta ASM, pergunte:
- Posso importar ativos do meu DNSprovedor ou um arquivo de zona, ou apenas os infere?
- O relatório mostra de onde veio cada ativo?
- O que acontece quando está errado? Posso remover um ativo e manter essa decisão?
- A ferramenta verifica se eu realmente controlo um domínio antes de digitalizá-lo?
Essa última questão é mais importante do que parece à primeira vista. Uma ferramenta que fará a varredura de qualquer domínio mediante solicitação é um serviço de reconhecimento para quem solicita, não um produto de segurança. Exigindo provade propriedade - um registro DNS, um arquivo no servidor, uma meta tag - é o controle que separa os dois. Documentamos esse processo passo a passo para oito provedores de DNS, incluindo Cloudflare, AWS Route 53 e Azure DNS.
O que o ASM verifica quando conhece seus ativos
Uma vez queexiste um inventário, a avaliação abrange vários níveis. Cada um responde a uma pergunta diferente e falha de maneira diferente.
Configuração de TLS e certificado
Se as conexões criptografadas são realmente seguras: quais versões de protocolo estão habilitadas, quais conjuntos de criptografia são oferecidos, se o certificado é válido, encadeado corretamente e não está prestes a expirar. Descobertas comuns são versões antigas de protocolos ativadas, certificados expirando sem aviso prévio e cadeias de certificados incompletas que quebram em alguns clientes e não em outros. O que uma verificação TLS analisa em detalhes.
Segurança HTTP e vulnerabilidades conhecidas
Se os aplicativos da Web estão configurados de forma defensiva e se o software que os executa possui falhas conhecidas. Isto abrange cabeçalhos de segurança, as tecnologias detectadas em cadahost e combinar essas tecnologias e versões com vulnerabilidades publicadas - a lista CVE.
Um CVE é uma falha de segurança catalogada publicamente com um identificador exclusivo. Comparar as versões do seu software com esse catálogo informa se você está executando algo com uma fraqueza conhecida e documentada. O que uma verificação HTTP analisa em detalhes.
Portas abertas e serviços expostos
Quais portas de rede respondem dointernet e o que está ouvindo por trás deles. Espera-se um servidor web na porta 443. Um banco de dados, um serviço de área de trabalho remota ou uma interface administrativa acessível de qualquer lugar, não. O que uma varredura de porta analisa em detalhes.
Configuração de DNS e falsificação de e-mail
Se o DNS está configurado de forma segura e se qualquer pessoa pode enviar e-mails que pareçam vir do seu domínio. Isso cobre registros SPF, DKIM e DMARC paraautenticação de correio, MTA-STS e TLS-RPT para segurança de transporte de correio, DNSSEC para integridade de DNS e configuração que pode vazar seu conjunto completo de registros.
A falta de autenticação de e-mail está entre as descobertas mais comuns e mais fáceis de explorar, porque permite convencer o phishing contra sua própria equipe, clientes e fornecedores. O que uma verificação de DNS analisa em detalhes.
Reputação do domínio
Se seus domínios e endereços aparecem em listas de bloqueio ou em feeds de inteligência sobre ameaças. Os problemas de reputação surgem como falhas na capacidade de entrega muito antes de alguém investigar a causa.
Subdomínios e hosts esquecidos
Além da enumeração, o risco específico aqui é a aquisição de subdomínio: um registro DNS ainda aponta para um serviço de nuvem que a organização não usa mais. Qualquer pessoa que reivindique esse nome de serviço agora controla o conteúdo veiculado pelo seusubdomínio, com seu nome e muitas vezes seu certificado.
ASM, gerenciamento de vulnerabilidades e testes de penetração
Eles são confundidos constantemente. Eles respondem a perguntas diferentes:
| Pergunta que responde | Escopo | Cadência | |
|---|---|---|---|
| Gerenciamento de superfície de ataque | O que expomos e é fraco? | Voltado para a Internet, não autenticado | Contínuo ou programado |
| Gerenciamento de vulnerabilidades | Que falhas conhecidas existem em nossa propriedade? | Interno e externo, frequentemente autenticado | Agendado |
| Teste de penetração | Um invasor habilidoso pode realmente entrar? | Escopo, acordado previamente | Periódico, geralmente anual |
ASM é o mais largo e o mais raso. O teste de penetração éo mais estreito e profundo. O gerenciamento de vulnerabilidades fica entre eles e geralmente pressupõe que você já sabe o que possui - que é a suposição que o ASM existe para impedi-lo de fazer isso.
Eles não são substitutos. ASM diz ao pentester onde procurar.
EASM, CAASM e outras siglas
A categoria reuniu quatro siglas que são utilizadas como se fossem intercambiável. Eles não são, e a diferença é principalmente sobre onde o os dados chegamde.
EASM - gerenciamento de superfície de ataque externo. A visão de fora, sem credenciais: o que alguém na Internet pública pode alcançar. É o que isso guia descreve, e é o que AYAsec faz.
CAASM - gerenciamento de superfície de ataque de ativos cibernéticos. Cria um inventário por extraindo dados de ativos das ferramentas que você já executa - agentes de endpoint, nuvem contas, provedores de identidade, um CMDB - por meio de suas APIs. Ele vê muito mais do que umvarredura externa, incluindo ativos internos, mas apenas quando uma ferramenta é já instalado e reportando. Ele não pode ver o anfitrião de quem ninguém falou.
DRPS - serviços de proteção digital contra riscos. Observa o que acontece fora do seu infraestrutura: credenciais vazadas, domínios semelhantes registrados para se passar por você, sua marca aparecendo onde não deveria.
CTEM - gerenciamento contínuo de exposição a ameaças. Não é uma categoria de produto no todos. É um modelo de programa - definir escopo, descobrir, priorizar, validar, mobilizar - e as ferramentas acima são coisas que você usaria dentro dele. Um vendedor vendendo você "uma plataforma CTEM" está vendendo uma parte dela.
A versão resumida: EASM encontra o que você não sabia que expôs, CAASM organiza o que você já sabe que possui e o DRPS observa o que outras pessoas fazem com seu nome. Organizações maiores acabam administrando mais de uma. Menores geralmente começacom a visão de fora, porque é aí que estão os bens que ninguém lembra são.
Como executar sua primeira verificação de superfície de ataque
Independentemente da ferramenta que você usar, a sequência é a mesma.
1. Comece com um domínio. Seu domínio principal, não uma propriedade completa. Você quer um resultado hoje, não um projeto.
2. Prove que você é o proprietário. Qualquer ferramenta confiável solicitará uma prova antes da verificação - normalmente um registro DNS TXT, um arquivo em um caminho conhecido ou uma meta tag nopágina inicial. Espere que esta etapa demore mais, porque muitas vezes significa perguntar a quem administra o DNS.
3. Deixe a descoberta ser executada. Você receberá uma lista de subdomínios e hosts relacionados. Leia antes de qualquer coisa. A primeira surpresa genuína para a maioria das equipes não é uma vulnerabilidade; é um ativo que eles esqueceram.
4. Agrupe o que importa. Nem tudo que você encontra merece igual atenção. Separe a produção dos experimentos.
5. Digitalize e leiaas descobertas por gravidade, não por contagem. Trinta avisos de cabeçalho de baixa gravidade são menos importantes do que um banco de dados exposto.
6. Coloque isso em um cronograma. Uma única verificação é um instantâneo. O valor está na comparação entre scans.
A aparência disso no dia a dia difere de equipe para equipe: consulte equipes de segurança e provedores de serviços gerenciados.
No AYAsec, isso é executado como uma descoberta em um domínio e, em seguida, uma varredura nos ativos que você mantém. Os ativos também podem ser importados diretamente de Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner ou Contabo ou de um arquivo de zona carregado. O fluxo de trabalho guiado é passo a passo na documentação.
Cada tipo de digitalização está incluído em todos os planos, incluindo ográtis. Execute sua primeira verificação
Descobertas comuns e o que elas significam
O mesmo punhado de questões é responsável pela maior parte do que surge em uma primeira varredura.
Risco de aquisição de subdomínio. Um registro DNS apontando para um serviço que você não usa mais. Gravidade: alta. Corrija removendo o registro.
Versões desatualizadas do protocolo TLS habilitadas. Versões antigas permanecem para compatibilidade e raramente são necessárias. Gravidade: média eisso prejudica todos os esquemas de classificação. Correção na configuração do servidor.
DMARC ausente ou configurado incorretamente. Sem ele, qualquer pessoa pode enviar e-mails que pareçam vir do seu domínio. Gravidade: alta e é um risco organizacional e não técnico. Corrija publicando o registro, iniciando no modo monitoramento.
Um serviço administrativo exposto à Internet. Área de trabalho remota, uma porta de banco de dados, um console de gerenciamento. Gravidade: crítica. Restringirpor endereço IP ou coloque-o atrás de uma VPN.
Um certificado prestes a expirar. Não é uma vulnerabilidade, mas uma interrupção autoinfligida em uma data previsível.
Com que frequência você deve digitalizar?
A postura de segurança degrada-se silenciosamente. Um cabeçalho desaparece em uma implantação. Um certificado está prestes a expirar. Um protocolo é reativado para corrigir uma reclamação de compatibilidade. Nada disso é anunciado e nada quebra visivelmente. Essa erosão gradual é a razão pela qual uma avaliação única envelhece mal. A resposta prática depende da frequência com que você implanta: a nova verificação semanal é uma linha de base razoável para um estado estável, diariamente é apropriada quando você envia com frequência, e o que importa mais do que o intervalo é que alguém é avisado quando uma nota cai em vez de ter que ir e olhar. Veja como construir a trilha de evidências de remediação.
Onde isso apareceRegulamento da UE
Dois textos legislativos da UE dizem agora, em palavras diferentes, que é preciso saber o que você corre.
NIS2 (Diretiva (UE) 2022/2555) deveria ser transposto para a legislação nacional até 17 de outubro de 2024. O artigo 21.º enumera os medidas de gestão de risco que entidades essenciais e importantes devem tomar, e entre eles estão o tratamento de vulnerabilidades e a segurança da cadeia de abastecimento. Nem é possível para um anfitrião ninguémanotou.
DORA (Regulamento (UE) 2022/2554) é aplicável desde 17 de janeiro de 2025 a bancos, seguradoras, empresas de investimento e instituições de pagamento que operam na UE. O Artigo 8 é mais direto: financeiro as entidades devem identificar, classificar e documentar as suas informações e ativos de TIC, mapear os críticos, incluindo sua configuração e suas dependências, e revise essa documentação empelo menos uma vez por ano.
Leia esse requisito em relação à seção anterior sobre de onde vem a lista de ativos de. Um inventário montado por inferência é um documento no qual você não pode defender a entrada por entrada, porque você não pode dizer por que cada linha está nela ou quem decidiu que estava seu. Um inventário obtido da zona DNS que você controla pode ser explicado a alguém que pergunta.
O que isso não significa. AYAsec não é uma ferramenta de conformidade e não produzir um atestado. Nenhum scanner torna você compatível com qualquer uma das leis, e um fornecedor que insinua o contrário está vendendo algo para você. O que uma varredura produz é evidência datada do que foi exposto e em que estado se encontrava - o tipo de coisa um auditor pede, e o tipo de coisa que é tediosa de montar manualmente.
Perguntas frequentes
O gerenciamento da superfície de ataque é igual ao EASM?
EASM - gerenciamento de superfície de ataque externo - é otermo mais preciso para a visão apenas externa. Na prática, a maioria das ferramentas comercializadas como ASM são EASM. Se um fornecedor quer dizer algo mais amplo, ele deveria dizê-lo.
Precisamos disso se já executamos a verificação de vulnerabilidades?
A verificação de vulnerabilidades informa sobre falhas nos ativos para os quais você aponta. ASM informa quais ativos existem. Se o seu inventário estiver incompleto, a sua digitalização também estará.
Quanto tempo leva para obter o primeiro resultado?
Descoberta em umdomínio único normalmente leva minutos. A parte lenta é provar a propriedade do domínio, porque geralmente depende de outra pessoa.
A digitalização quebrará alguma coisa?
A avaliação externa é esmagadoramente passiva ou de baixo impacto. O teste ativo de aplicativos da web é a exceção e deve ser executado deliberadamente, nos sistemas de sua propriedade, de preferência fora dos horários de pico.
Podemos verificar um domínio que não nos pertence?
Não, e você deve suspeitar de qualquer ferramenta que permitavocê. A verificação de propriedade é um recurso, não um obstáculo.