Fragen Sie ein Security-Team, jedes internetseitige Asset aufzulisten, das die Organisation besitzt, und Sie erhalten eine selbstsichere Antwort, die unvollständig ist. Nicht aus Nachlässigkeit. Die externe Angriffsfläche ändert sich fortlaufend, und fast keine dieser Änderungen läuft über Security.
Marketing stellt eine Campaign-Subdomain auf. Ein Team liefert eine Staging-Umgebung aus und vergisst sie. Eine Akquisition bringt Infrastruktur mit, die niemand inventarisiert hat. Ein Cloud-Dienst erhält standardmäßig einen öffentlichen Endpunkt. Ein Anbieter hostet etwas auf einer Subdomain, die Sie vor drei Jahren delegiert haben. Keiner dieser Fälle erzeugt ein Ticket.
External Attack Surface Monitoring ist die Praxis, kontinuierlich zu ermitteln und zu bewerten, was tatsächlich vom Internet aus erreichbar ist, anstatt was ein Asset-Register besagt, dass es sein sollte.
Was Attack Surface Monitoring abdeckt
Die externe Angriffsfläche ist alles, was ein Außenstehender ohne Zugangsdaten erreichen kann: Domains und Subdomains, IP-Bereiche und die darauf lauschenden Dienste, Cloud-Storage-Endpunkte, exponierte Admin-Panels und Dashboards, API-Endpunkte, Zertifikate, DNS-Einträge und die Drittanbieter-Dienste, die unter Ihrem Namen betrieben werden.
Drei Eigenschaften machen es zu einem Monitoring-Problem statt einem Audit-Problem.
Es ändert sich ohne Vorwarnung. Das Intervall zwischen dem Auftauchen eines Assets und dem Zeitpunkt, an dem jemand in Security davon weiß, ist das entscheidende Zeitfenster, und ein vierteljährliches Review macht dieses Fenster ein Quartal lang.
Es reicht über das hinaus, was Sie provisioniert haben. Delegierte Subdomains, vom Anbieter gehostete Dienste und akquirierte Infrastruktur sind Teil Ihrer Angriffsfläche und fehlen meist in Ihrem Inventar.
Die interessanten Assets sind die vergessenen. Ein gepflegter Produktionsdienst wird gepatcht und überwacht. Eine Staging-Box aus einem Projekt, das vor zwei Jahren ausgeliefert wurde, ist keines von beiden, und sie liegt auf derselben Angriffsfläche.
Die relevanten Discovery-Quellen
Discovery ist größtenteils ein Sammelproblem gegenüber öffentlichen Quellen, und keine einzelne Quelle ist ausreichend.
Certificate-Transparency-Logs. Jedes öffentlich vertrauenswürdige Zertifikat wird geloggt, was CT zur zuverlässigsten verfügbaren Quelle für Subdomain-Discovery macht. Sie findet Hosts, die niemand bewerbt, einschließlich intern klingender Namen, die niemals öffentlich sein sollten.
Passives DNS und DNS-Enumeration. Historische und aktuelle Auflösungsdaten, die Hosts zutage bringen, die nicht mehr in Ihrer Zone erscheinen, aber irgendwo noch aufgelöst werden.
Registries und WHOIS. Domain-Eigentümer- und Registrierungsdaten, nützlich, um Domains zu finden, die vor Jahren erworben oder defensiv registriert und niemals inventarisiert wurden.
ASN- und IP-Bereichsdaten. Welcher Adressraum Ihrer Organisation zugeordnet ist, was die Netzwerkseite der Angriffsfläche verankert.
Cloud-Provider-Bereiche. Öffentliche Endpunkte in Ihren Accounts, die häufig der am schnellsten wachsende Teil der Angriffsfläche sind.
Öffentliche Code- und Paket-Repositories. Nicht zur Suche nach Secrets, was eine eigene Disziplin ist, sondern weil Repositories auf Hostnamen, Endpunkte und Infrastruktur verweisen, die Discovery sonst übersehen würde.
Stellenausschreibungen und öffentliche technische Inhalte. Ausschreibungen nennen den Stack im Detail. Das ist legitime Open-Source-Intelligence über Ihren eigenen Fußabdruck, und es ist auch das, was ein Angreifer als Erstes liest.
Die OSINT-Sammelmethoden hinter mehreren dieser Punkte werden in Residential Proxies für Threat Intelligence und OSINT behandelt.
Ihr eigenes Netzwerk sieht ein freundlicheres Internet
Das ist der Teil, der Teams überrascht, und er ist das stärkste Argument dafür, den Beobachtungsstandpunkt ernst zu nehmen.
Das Scannen der eigenen Angriffsfläche vom Unternehmens-Egress aus erzeugt ein systematisch zu optimistisches Bild, weil die eigenen Adressen häufig auf einer Allowlist stehen. WAF-Regeln nehmen sie aus. Geografische Beschränkungen gelten nicht für sie. Rate Limits sind für sie gelockert. Staging-Umgebungen sind für den Office-Bereich offen. Eine Ressource, die gegenüber Corporate-IPs mit einer Firewall abgeschirmt ist, sieht von innen erreichbar und in Ordnung aus, und von jedem anderen Ort unsichtbar, was genau die Unterscheidung ist, die Sie zu messen versuchten.
Das Umgekehrte passiert ebenfalls. Ein Dienst, der intern gedacht war, ist von außen erreichbar, weil eine Regel falsch gescoped wurde, und das werden Sie niemals von einem Standpunkt aus sehen, den die Regel ausnimmt.
Geografie verschärft das noch. CDN- und WAF-Konfigurationen unterscheiden sich oft je Region, und ein Dienst kann in einer Geografie exponiert und in einer anderen blockiert sein. Eine Organisation mit Kunden in mehreren Märkten hat eine Angriffsfläche in jedem von ihnen, und die Beobachtung aus einem Land meldet die Angriffsfläche eines Landes.
Die Verwendung von Residential Exits in den Regionen, die für Sie relevant sind, bedeutet, die eigene Angriffsfläche so zu beobachten, wie es ein gewöhnlicher Außenstehender tun würde. Mit dem Shifter-Gateway wird der Beobachtungsstandpunkt in den Zugangsdaten gegenüber p.shifter.io:443 festgelegt:
customer-USERNAME-country-de-sid-easm-de-04-ttl-600:PASSWORDcountry-de legt den Beobachtungspunkt fest, und sid-easm-de-04 hält einen Exit über einen Scan-Durchlauf fest, sodass Ergebnisse einem einzigen Standpunkt zuordenbar sind, anstatt über mehrere gemischt zu werden. Halten Sie die Anfrageraten moderat und drosseln Sie bei Fehlern, wie in Rate Limiting und Request Throttling. Die Produktansicht befindet sich auf der Seite Cybersecurity- und OSINT-Proxies.
Bleiben Sie innerhalb der Autorisierungsgrenze
Attack Surface Monitoring ist die Beobachtung von Assets, die Sie besitzen oder für deren Bewertung Sie vertraglich autorisiert sind. Diese Grenze muss explizit, schriftlich festgehalten und enger als Ihre Neugier sein.
Beobachten, nicht ausnutzen. Discovery und Identifikation sind eine Tätigkeit. Das Ausprobieren einer Schwachstelle, um sie zu bestätigen, ist eine andere, und sie gehört in einen abgegrenzten, autorisierten Test mit eigener Vereinbarung.
Holen Sie die Autorisierung schriftlich ein, einschließlich für Tochtergesellschaften und Anbieter. Assets, die Ihnen zu gehören scheinen, können von einem Dritten unter Bedingungen betrieben werden, die Ihre Tests nicht erlauben.
Halten Sie die Sammlung passiv, wo passiv funktioniert. Certificate Transparency, passives DNS und Registry-Daten erfordern überhaupt keine Interaktion mit dem Asset, und sie finden das meiste, was relevant ist.
Koordinieren Sie sich mit Legal und mit Ihrem eigenen Detection-Team. Traffic zu überwachen, von dem niemand informiert wurde, verschwendet einen Incident-Response-Zyklus, und das wiederholt.
Kontinuierlich bedeutet Diffing, nicht Rescanning
Das Ergebnis von Attack Surface Monitoring ist keine Asset-Liste. Es ist ein Strom von Änderungen gegenüber einer bekannten Baseline, denn die Liste ist zu groß, um sie zu überprüfen, und die Änderungen sind es, die das Risiko tragen.
Pflegen Sie eine Baseline von Assets mit, für jedes Einzelne, First Seen, Last Seen, aufgelösten Adressen, offenen Diensten, Zertifikatsdetails und Aussteller, Hosting-Provider, beobachteter Geografie und einem Owner. Alarmieren Sie dann bei den Übergängen und nicht beim Zustand:
| Änderung | Warum es wichtig ist |
|---|---|
| Neuer Host erscheint | Etwas wurde deployt, wovon Security nichts wusste |
| Dienst neu erreichbar | Ein Port oder Endpunkt wurde geöffnet, absichtlich oder anders |
| Zertifikat läuft demnächst ab, oder neu von unerwartetem Aussteller ausgestellt | Ablauf verursacht Ausfälle; unerwartete Ausstellung kann auf eine Übernahme hindeuten |
| DNS-Eintrag zeigt auf etwas Neues | Einschließlich auf einen abgeschalteten Provider, das klassische Subdomain-Takeover-Setup |
| Host löst nicht mehr auf, während der DNS-Eintrag bestehen bleibt | Der hängende Eintrag, den ein Angreifer beanspruchen kann |
| Technologie-Fingerprint ändert sich | Eine Komponente wurde ersetzt, oder eine bekannt verwundbare Version tauchte auf |
Hängende Einträge verdienen besondere Aufmerksamkeit. Ein CNAME, der auf eine Cloud-Ressource zeigt, die nicht mehr existiert, ist kein kosmetisches Problem, denn wer immer diese Ressource als Nächster registrieren kann, erbt Ihre Subdomain.
Die Taktung sollte dem Risiko folgen. Certificate Transparency ist nahezu in Echtzeit und es lohnt sich, sie kontinuierlich zu konsumieren. Vollständige Enumeration wöchentlich reicht meist aus. Kritische Assets verdienen eine schnellere Schleife.
Machen Sie die Befunde zu Eigentum, sonst wird nichts behoben
Der Fehlermodus eines ausgereiften Monitoring-Programms ist ein großes, akkurates Inventar, auf das niemand reagiert.
Jedes Asset braucht ein zugewiesenes Owning-Team, das bei Discovery und nicht erst zum Zeitpunkt eines Incidents festgehalten wird. Befunde brauchen ein Schweregradmodell, das Exposition und Asset-Kritikalität widerspiegelt, nicht nur den Score eines Scanners. Und es braucht einen Weg, wie ein nicht zugeordnetes Asset zum Problem von jemandem wird, da verwaiste Assets diejenigen sind, die sich in Incidents verwandeln.
Verfolgen Sie die Kennzahl, die das tatsächliche Risiko widerspiegelt: die Zeit zwischen dem Erscheinen eines Assets im Internet und dem Erscheinen in Ihrem Inventar. Diese Zahl zu verkleinern ist der Zweck des Programms.
FAQ
Wie unterscheidet sich das von einem Vulnerability Scan?
Ein Vulnerability Scan bewertet Assets, die Sie bereits kennen. Attack Surface Monitoring findet diejenigen, die Sie nicht kennen, weshalb es zuerst und kontinuierlich läuft.
Brauche ich externe Beobachtungsstandpunkte, wenn ich bereits von unserer eigenen Infrastruktur aus scanne?
Ja, weil Ihre Infrastruktur häufig auf einer Allowlist steht und von den Kontrollen ausgenommen ist, die Sie zu überprüfen versuchen. Scannen von innen misst ein freundlicheres Internet, als Ihre Angreifer sehen.
Reicht Certificate Transparency allein aus?
Es ist die einzige produktivste Quelle und sie ist nicht ausreichend. Sie übersieht Hosts, die niemals ein öffentliches Zertifikat erhalten haben, und sie sagt nichts darüber aus, welche Dienste tatsächlich lauschen.
Wie behandeln wir Assets, die zu einer Akquisition gehören?
Behandeln Sie die Akquisition als neue Angriffsfläche und führen Sie explizit Discovery gegen sie durch, bevor Sie annehmen, dass ihr Inventar akkurat ist. Akquirierte Infrastruktur ist durchgängig der am wenigsten dokumentierte Teil des Fußabdrucks einer Organisation.
Fazit
Sie können ein Asset nicht verteidigen, von dem Sie nicht wissen, dass es existiert, und das Register wird der Realität immer nachhinken. Kontinuierliches External Attack Surface Monitoring schließt diese Lücke, indem es entdeckt, was tatsächlich erreichbar ist, von Standpunkten aus, die von Ihren eigenen Kontrollen nicht ausgenommen sind, und indem es bei Änderungen alarmiert, anstatt eine Liste zu wiederholen.
Ermitteln Sie aus mehreren öffentlichen Quellen, beobachten Sie aus den Regionen, in denen Ihre Nutzer sind, halten Sie die Sammlung innerhalb einer schriftlichen Autorisierungsgrenze, diffen Sie gegen eine Baseline, und geben Sie jedem Asset einen Owner. Die Preise für die Sammel-Ebene finden Sie auf der Preisseite.