Peça a uma equipe de segurança que liste todos os ativos expostos à internet que a organização possui e você receberá uma resposta confiante que está incompleta. Não por negligência. A superfície de ataque externa muda continuamente, e quase nenhuma dessas mudanças passa pela segurança.
O marketing sobe um subdomínio de campanha. Uma equipe lança um ambiente de staging e o esquece. Uma aquisição traz infraestrutura que ninguém inventariou. Um serviço em nuvem ganha um endpoint público por padrão. Um fornecedor hospeda algo em um subdomínio que você delegou três anos atrás. Nada disso gera um ticket.
Monitoramento de superfície de ataque externa é a prática de descobrir e avaliar continuamente o que está realmente acessível pela internet, em vez do que um registro de ativos diz que deveria estar.
O que o monitoramento de superfície de ataque cobre
A superfície de ataque externa é tudo que um estranho pode alcançar sem credenciais: domínios e subdomínios, faixas de IP e os serviços escutando nelas, endpoints de armazenamento em nuvem, painéis administrativos e dashboards expostos, endpoints de API, certificados, registros DNS e os serviços de terceiros operando sob seu nome.
Três propriedades tornam isso um problema de monitoramento, não um problema de auditoria.
Muda sem aviso. O intervalo entre o surgimento de um ativo e o momento em que alguém da segurança fica sabendo é a janela que importa, e uma revisão trimestral torna essa janela longa como um trimestre.
Se estende além do que você provisionou. Subdomínios delegados, serviços hospedados por fornecedores e infraestrutura adquirida fazem parte da sua superfície e geralmente estão ausentes do seu inventário.
Os ativos interessantes são os esquecidos. Um serviço de produção mantido é corrigido e monitorado. Uma máquina de staging de um projeto lançado há dois anos não é nenhuma das duas coisas, e está na mesma superfície.
As fontes de descoberta que importam
A descoberta é, na maior parte, um problema de coleta contra fontes públicas, e nenhuma fonte isolada é suficiente.
Logs de transparência de certificados. Todo certificado publicamente confiável é registrado, o que faz do CT a fonte de descoberta de subdomínios mais confiável disponível. Ela encontra hosts que ninguém anuncia, incluindo nomes de aparência interna que nunca deveriam ter sido públicos.
DNS passivo e enumeração de DNS. Dados de resolução históricos e atuais, que revelam hosts que não aparecem mais na sua zona mas ainda resolvem em algum lugar.
Registros e WHOIS. Dados de propriedade e registro de domínio, úteis para encontrar domínios adquiridos ou registrados defensivamente anos atrás e nunca inventariados.
Dados de ASN e faixas de IP. Qual espaço de endereços é atribuído à sua organização, o que ancora o lado de rede da superfície.
Faixas de provedores de nuvem. Endpoints públicos nas suas contas, que são frequentemente a parte de crescimento mais rápido da superfície.
Repositórios públicos de código e pacotes. Não para caça de segredos, que é uma disciplina em si, mas porque os repositórios referenciam hostnames, endpoints e infraestrutura que a descoberta de outra forma perderia.
Vagas de emprego e conteúdo técnico público. Anúncios de vagas nomeiam a stack em detalhe. Isso é inteligência de código aberto legítima sobre sua própria pegada, e também é o que um atacante lê primeiro.
Os métodos de coleta OSINT por trás de várias dessas fontes são abordados em proxies residenciais para inteligência de ameaças e OSINT.
Sua própria rede vê uma internet mais amigável
Essa é a parte que surpreende as equipes, e é o argumento mais forte para levar o ponto de vista a sério.
Escanear sua própria superfície a partir da sua saída corporativa produz um retrato sistematicamente otimista, porque seus próprios endereços são frequentemente colocados em lista de permissão. Regras de WAF os isentam. Restrições geográficas não se aplicam a eles. Limites de taxa são relaxados para eles. Ambientes de staging ficam abertos para a faixa do escritório. Um recurso protegido por firewall para IPs corporativos parece acessível e normal de dentro, e invisível de qualquer outro lugar, que é exatamente a distinção que você estava tentando medir.
O inverso também acontece. Um serviço destinado a ser interno é acessível de fora porque uma regra foi delimitada incorretamente, e você nunca verá isso a partir de um ponto de vista que a regra isenta.
A geografia agrava isso. Configurações de CDN e WAF frequentemente diferem por região, e um serviço pode estar exposto em uma geografia e bloqueado em outra. Uma organização com clientes em vários mercados tem uma superfície de ataque em cada um deles, e observar a partir de um único país reporta a superfície de um único país.
Usar saídas residenciais nas regiões que importam para você significa observar sua própria superfície da mesma forma que um estranho comum faria. Com o gateway Shifter, o ponto de vista entra nas credenciais contra p.shifter.io:443:
customer-USERNAME-country-de-sid-easm-de-04-ttl-600:PASSWORDcountry-de define o ponto de observação, e sid-easm-de-04 mantém uma saída fixa durante uma passagem de varredura para que os resultados sejam atribuíveis a um único ponto de vista em vez de misturados entre vários. Mantenha as taxas de requisição moderadas e reduza em caso de erros, como em limitação de taxa e throttling de requisições. A visão do produto está na página de proxies para cibersegurança e OSINT.
Fique dentro do limite de autorização
Monitoramento de superfície de ataque é a observação de ativos que você possui ou está contratualmente autorizado a avaliar. Esse limite precisa ser explícito, registrado por escrito e mais estreito que a sua curiosidade.
Monitore, não explore. Descoberta e identificação são uma atividade. Testar uma vulnerabilidade para confirmá-la é outra, e ela pertence dentro de um teste delimitado e autorizado, com seu próprio acordo.
Obtenha autorização por escrito, incluindo para subsidiárias e fornecedores. Ativos que parecem ser seus podem ser operados por um terceiro sob termos que não permitem seus testes.
Mantenha a coleta passiva onde a coleta passiva funciona. Transparência de certificados, DNS passivo e dados de registro não exigem nenhuma interação com o ativo, e encontram a maior parte do que importa.
Coordene com o jurídico e com sua própria equipe de detecção. Monitorar tráfego sobre o qual ninguém foi avisado desperdiça um ciclo de resposta a incidentes, e repetidamente.
Contínuo significa comparar diferenças, não reescanear
O resultado do monitoramento de superfície de ataque não é uma lista de ativos. É um fluxo de mudanças em relação a uma linha de base conhecida, porque a lista é grande demais para revisar e as mudanças são o que carrega o risco.
Mantenha uma linha de base de ativos com, para cada um, primeira aparição, última aparição, endereços resolvidos, serviços abertos, detalhes e emissor do certificado, provedor de hospedagem, geografia observada, e um responsável. Depois, alerte sobre as transições em vez do estado:
| Mudança | Por que importa |
|---|---|
| Novo host aparece | Algo foi implantado que a segurança não conhecia |
| Serviço recém acessível | Uma porta ou endpoint se abriu, deliberadamente ou não |
| Certificado prestes a expirar, ou recém emitido por um emissor inesperado | A expiração causa interrupções; a emissão inesperada pode indicar uma tomada de controle |
| Registro DNS aponta para algo novo | Incluindo para um provedor descomissionado, a clássica configuração de tomada de subdomínio |
| Host para de resolver enquanto o registro DNS permanece | O registro pendente que um atacante pode reivindicar |
| Fingerprint de tecnologia muda | Um componente foi substituído, ou uma versão conhecidamente vulnerável apareceu |
Registros pendentes merecem atenção especial. Um CNAME apontando para um recurso em nuvem que não existe mais não é um problema cosmético, porque quem puder registrar esse recurso em seguida herda seu subdomínio.
A cadência deve seguir o risco. Transparência de certificados é quase em tempo real e vale a pena consumir continuamente. Enumeração completa semanal geralmente é suficiente. Ativos críticos merecem um ciclo mais rápido.
Faça com que os achados tenham dono, ou nada é corrigido
O modo de falha de um programa de monitoramento maduro é um inventário grande e preciso sobre o qual ninguém age.
Todo ativo precisa de uma equipe responsável registrada contra ele, atribuída na descoberta e não no momento do incidente. Os achados precisam de um modelo de severidade que reflita a exposição e a criticidade do ativo, não apenas a pontuação de um scanner. E precisa haver uma rota pela qual um ativo sem dono se torne o problema de alguém, já que ativos órfãos são os que se transformam em incidentes.
Acompanhe a métrica que reflete o risco real: o tempo entre um ativo aparecer na internet e aparecer no seu inventário. Reduzir esse número é para isso que o programa existe.
Perguntas frequentes
Como isso é diferente de uma varredura de vulnerabilidades?
Uma varredura de vulnerabilidades avalia ativos que você já conhece. O monitoramento de superfície de ataque encontra os que você não conhece, por isso ele roda primeiro e continuamente.
Preciso de pontos de vista externos se já faço varredura a partir da nossa própria infraestrutura?
Sim, porque sua infraestrutura frequentemente está em lista de permissão e isenta dos controles que você está tentando verificar. Escanear de dentro mede uma internet mais amigável do que a que seus atacantes veem.
A transparência de certificados é suficiente sozinha?
É a fonte isolada mais produtiva e não é suficiente. Ela perde hosts que nunca receberam um certificado público, e não diz nada sobre quais serviços estão realmente escutando.
Como lidamos com ativos pertencentes a uma aquisição?
Trate a aquisição como uma nova superfície e execute a descoberta contra ela explicitamente, antes de assumir que o inventário dela é preciso. A infraestrutura adquirida é consistentemente a parte menos documentada da pegada de uma organização.
Conclusão
Você não pode defender um ativo cuja existência você desconhece, e o registro sempre vai ficar atrás da realidade. O monitoramento contínuo de superfície de ataque externa fecha essa lacuna descobrindo o que está realmente acessível, a partir de pontos de vista que não estão isentos dos seus próprios controles, e alertando sobre mudanças em vez de reafirmar uma lista.
Descubra a partir de múltiplas fontes públicas, observe a partir das regiões onde estão seus usuários, mantenha a coleta dentro de um limite de autorização por escrito, compare diferenças contra uma linha de base, e dê a cada ativo um responsável. As taxas para a camada de coleta estão na página de preços.