Gestão de superfície de ataque: o que é e como funciona

Pense em tudo que um atacante consegue ver da internet sem nenhum acesso interno. Isso inclui o site e o e-mail, mas também o subdomínio de homologação que alguém publicou e esqueceu, o painel de um sistema antigo, a porta de banco de dados aberta por engano e o serviço de nuvem contratado direto por uma área de negócio.

O risco costuma estar justamente no que a TI não conhece. Por isso o primeiro passo da gestão de superfície de ataque é descobrir o que existe; testar vem depois.

• Domínios e subdomínios, incluindo os de campanhas e ambientes de teste.
• Endereços IP e os serviços que respondem neles (web, VPN, acesso remoto, bancos de dados).
• Certificados digitais, que revelam nomes de sistemas e datas de vencimento.
• Aplicações web e APIs públicas.
• Recursos de nuvem expostos, como armazenamento de arquivos e máquinas com IP público.
• Credenciais de funcionários vazadas, que abrem a porta sem precisar de falha técnica.
• Shadow IT: sistemas contratados ou publicados sem passar pela TI.

As ferramentas de ASM fazem o que um atacante faz no reconhecimento, só que de forma contínua e organizada:

1. 1

   DNS e registros de domínio

   Enumeração de subdomínios e de domínios ligados à mesma empresa.

2. 2

   Certificate Transparency

   Todo certificado HTTPS emitido é registrado em logs públicos, o que revela nomes de sistemas que ninguém divulgou.

3. 3

   Faixas de IP e ASN

   Os blocos de endereços registrados em nome da empresa e o que roda neles.

4. 4

   Varredura de serviços

   Portas abertas, versões de software, tecnologias e capturas de tela de cada página encontrada.

5. 5

   Fontes de vazamento

   Credenciais e dados da empresa circulando em fóruns e canais.

Uma alimenta a outra. A gestão de vulnerabilidades só cobre o que está no inventário; o ASM traz para o inventário o que estava escondido. Leia mais em EASM: por que sua superfície de ataque é maior do que você pensa.

A primeira descoberta costuma assustar pelo volume. A priorização que funciona olha três coisas juntas:

• Exposição: o ativo está acessível de qualquer lugar da internet?
• Falha conhecida ou credencial vazada: existe um caminho conhecido para entrar?
• Importância: o que há atrás dele? Dados de clientes, sistemas financeiros, acesso à rede interna?

Um painel administrativo exposto, com versão vulnerável, num sistema que guarda dados de clientes vem antes de qualquer outra coisa.

1. 1

   Liste o ponto de partida

   Domínios principais, faixas de IP conhecidas e contas de nuvem.

2. 2

   Faça a primeira descoberta

   Compare o resultado com o inventário da TI. A diferença é o seu shadow IT.

3. 3

   Defina donos

   Cada ativo precisa de um responsável que decida corrigir, proteger ou desligar.

4. 4

   Acompanhe as mudanças

   O valor do ASM aparece quando ele avisa que algo novo surgiu.

Para testar a fundo o que for encontrado, o passo seguinte é um pentest.