Управління поверхнею атаки: чому виявлення випереджає захист

У 2024 році Shodan індексував приблизно 750 мільйонів пристроїв і сервісів, доступних з інтернету. Це число — приблизно верхні 20% того, що насправді досяжне: спеціалізовані сканери поверхні атаки сягають далі та швидше. Організовані групи атакуючих скануюють весь адресований інтернет на нові вразливості протягом годин після публічного розкриття. Середній час від публікації CVE до активної експлуатації у 2024 році скоротився до 12 днів проти 28 днів у 2022-му.

У вашої команди безпеки немає проблеми зі швидкістю сканування. У неї проблема з виявленням: вони не можуть захищати те, про існування чого не знають.

Проблема масштабу

Поверхня атаки технологічної компанії середнього розміру зростає швидше, ніж встигають традиційні процеси управління активами. Розгляньмо типові джерела невідомої експозиції:

Розростання хмари. Самообслуговування розробників в AWS, Azure і GCP означає, що нові публічні кінцеві точки, сховища та API-шлюзи з'являються, минаючи процес перевірки безпеки, що керує локальними розгортаннями. Спринт за один день може створити п'ять нових публічно доступних сервісів.

Shadow IT. Маркетингові відділи піднімають інтеграції SaaS. Фінанси розгортають портали обробки рахунків. Окремі інженери реєструють пов'язані з продуктом домени для прототипування. Жоден із них не потрапляє до CMDB.

Експозиція через треті сторони. Постачальники програмного забезпечення, підрядники та провайдери послуг отримують доступ до вашого середовища через з'єднання, які правильно налаштовані на момент надання доступу, а потім дрейфують. VPN-клієнти лишаються невиправленими, вебпортали накопичують забуті облікові дані, партнерські інтеграції переживають стосунки, що їх створили.

Історична інфраструктура. Злиття та поглинання — найбільше окреме джерело невідомої поверхні атаки. Придбані компанії приносять діапазони IP-адрес, реєстрації доменів і застарілі системи, яких команда безпеки компанії-покупця ніколи не бачила. Через два роки після типового поглинання 30–40% початкового інтернет-доступного сліду придбаної компанії все ще досяжні.

Витік облікових даних. Працівники повторно використовують паролі. Ці паролі з'являються в базах витоків. З точки зору атакувальника, викрадені облікові дані — це поверхня атаки: точки входу, що існують цілком поза вашою інфраструктурою, але дають доступ до неї.

Що охоплює сучасний ASM

Управління поверхнею атаки — це безперервна програма, а не категорія інструментів. Повна програма ASM підтримує видимість у п'яти доменах:

Виявлення зовнішніх активів

Пасивна й активна розвідка всіх інтернет-доступних активів, пов'язаних з організацією, — доменів, діапазонів IP-адрес, ASN і сервісів, що на них працюють. Це включає активи, не зареєстровані у вашій внутрішній CMDB: забуті субдомени, хмарні активи, зареєстровані на різні облікові записи AWS, домени, придбані разом із минулими продуктами.

Інвентаризація відкритих сервісів

Для кожного виявленого активу — безперервна інвентаризація відкритих сервісів, відкритих портів і версій програмного забезпечення, що їх обслуговують. Це шар, де відбувається пріоритезація CVE: ви не можете визначити, чи релевантна конкретна CVE для вашого середовища, якщо не знаєте, чи працює в ньому хоч одна система з уразливою версією ПЗ.

Розвідка щодо облікових даних

Моніторинг баз витоків, paste-сайтів, форумів даркнету та репозиторіїв коду на предмет облікових даних, пов'язаних із доменами вашої організації. Розкриті облікові дані — особливо привілейованих облікових записів чи службових облікових записів із доступом до партнерських систем — є індикаторами ризику високого пріоритету, що потребують негайного реагування незалежно від того, чи чинні самі облікові дані.

Експозиція ланцюга постачання

Моніторинг поверхні атаки ваших критичних сторонніх постачальників і партнерів. Не їхнього повного сліду — це непрактично, — а конкретних систем і сервісів, що мають доступ до вашого середовища або можуть вплинути на ваших клієнтів у разі компрометації. Ця розвідка живить рішення з управління ризиками вендорів і плани реагування на інциденти третіх сторін.

Цифровий ризик

Імітація бренду, typosquat-домени, схожі SSL-сертифікати та акаунти в соцмережах, що зловживають ідентичністю вашого бренду. Це не традиційні категорії вразливостей, але вони становлять реальні вектори атак, які використовують у фішингових кампаніях проти ваших працівників і клієнтів.

Типові сліпі зони

Навіть організації зі зрілими програмами безпеки мають передбачувані прогалини:

Невеб-порти. Сканери безпеки, налаштовані переважно на тестування вебзастосунків, пропускають бази даних, черги повідомлень, промислові протоколи керування та інтерфейси керування, відкриті на нестандартних портах. Дані Shodan послідовно показують відкриті екземпляри MongoDB, сервери Redis і кластери Elasticsearch, про доступність яких з інтернету організації не знали.

IPv6. Адресний простір IPv6 завеликий для багатьох сканерів, щоб охопити його повністю. Неправильно налаштовані системи з dual-stack часто мають заблокований доступ IPv4 та відкритий доступ IPv6 — прогалина, невидима для сканування лише IPv4.

API-шлюзи та мікросервіси. Сучасні архітектури застосунків замінюють монолітні застосунки десятками окремих API-сервісів. Кожен сервіс має власну логіку автентифікації, власне дерево залежностей і власний профіль експозиції. Традиційне сканування периметра охоплює балансувальник навантаження, але не мікросервіси за ним.

Журнали прозорості сертифікатів. Атакувальники моніторять журнали прозорості сертифікатів у реальному часі, щоб виявляти нові субдомени одразу після видання сертифікатів TLS — зазвичай за кілька хвилин після розгортання, ще до того, як будь-який процес управління вразливостями виявив би актив. Захисний ASM має робити те саме.

Прострочені, але доступні домени. Домени, чия реєстрація закінчилась, можуть бути повторно зареєстровані атакувальниками й використані для перехоплення сесій, крадіжки cookie або перехоплення субдомена, якщо записи DNS не очистили до закінчення терміну.

Безперервний моніторинг проти одномоментних оцінок

Щоквартальний тест на проникнення залишається цінним, незамінним засобом безпеки. Але як механізм видимості поверхні атаки він має принципові обмеження:

Тест на проникнення фіксує знімок вашого середовища в момент тестування. Він пропускає активи, створені за три місяці після останнього тесту. Він працює з обмеженим переліком активів — тож shadow IT, нещодавно придбана інфраструктура та експозиція третіх сторін зазвичай лишаються поза обсягом. А його результати надходять як звіт, а не як жива стрічка даних.

Атакувальник, що сканує відкриті кінцеві точки Fortinet, Citrix чи Ivanti після виходу критичної CVE, не чекає вашого наступного щоквартального циклу пентесту. Він скануює все, одразу, і починає експлуатацію протягом годин.

Операційна модель, що закриває цю прогалину, — безперервний автентифікований ASM: підтримка живого переліку вашого зовнішнього сліду, моніторинг нових експозицій і передача знахідок у ваш процес управління вразливостями із запасом часу, достатнім для виправлення до експлуатації.

Це не замінює тестування на проникнення. Це змінює те, для чого воно призначене: замість виявлення пентест стає перевіркою — випробуванням, чи справді засоби контролю, які, на вашу думку, діють, запобігають експлуатації кваліфікованим противником.

Як виглядає ефективний ASM на практиці

Зріла програма безперервного ASM має три операційні спроможності:

Автоматизоване виявлення та виявлення змін. Нові активи виявляють протягом 24 годин після появи. Зміни в наявних активах — нові відкриті порти, нові версії ПЗ, зміни сертифікатів SSL — виявляють і ставлять у чергу на перегляд. Перелік є еталоном істини; ручні записи CMDB звіряють із ним, а не навпаки.

Пріоритезований контекст ризику. Сирі дані про експозицію без контексту — шум. Ефективний ASM накладає на серйозність CVE дані про експлуатованість (чи існує публічний PoC-код експлойта, чи вразливість активно експлуатують у дикій природі) і бізнес-контекст (чи актив доступний ззовні, чи обробляє чутливі дані, які в нього залежності). Результат — дієва пріоритезована черга усунення, а не список CVE, відсортований за оцінкою CVSS.

Атрибуція атакуючого, де можливо. Для організацій у секторах, на які націлюються конкретні групи атакуючих, найцінніший шар збагачення — розвідка про конкретного атакуючого: знання того, що вразливість на вашому відкритому VPN-шлюзі активно експлуатує саме група, яка націлюється на ваш сектор, змінює пріоритет реагування з «виправити цього кварталу» на «виправити цього тижня».