Μια επιχείρηση μπορεί να πιστεύει ότι γνωρίζει ποια συστήματά της είναι προσβάσιμα από το Internet, αλλά η πραγματική εικόνα συχνά αλλάζει. Νέα cloud resources, subdomains, προσωρινά test systems, VPN gateways ή παλιές υπηρεσίες μπορούν να παραμείνουν εξωτερικά ορατά χωρίς να βρίσκονται πλέον στο ενεργό IT inventory.
Το External Attack Surface Management (EASM) επικεντρώνεται ακριβώς σε αυτό το πρόβλημα: στον εντοπισμό και τη συνεχή αξιολόγηση των Internet-facing assets που μπορούν να συσχετιστούν με έναν οργανισμό.
Τι είναι το External Attack Surface;
Το external attack surface είναι το σύνολο των συστημάτων, υπηρεσιών και άλλων τεχνολογικών στοιχείων που είναι προσβάσιμα ή παρατηρήσιμα από το δημόσιο Internet και μπορούν να αποτελέσουν σημείο αλληλεπίδρασης με έναν πιθανό επιτιθέμενο.
Ανάλογα με την υποδομή, μπορεί να περιλαμβάνει:
- εταιρικά domains και subdomains,
- public IP addresses,
- websites και web applications,
- VPN και άλλες remote-access υπηρεσίες,
- Internet-facing servers και network appliances,
- cloud workloads με δημόσια έκθεση,
- management interfaces που είναι προσβάσιμα από το Internet.
Το κρίσιμο σημείο είναι ότι η εξωτερική εικόνα δεν ταυτίζεται πάντα με όσα πιστεύει το IT ότι διαθέτει.
Πώς διαφέρει από το IT Asset Inventory;
Το IT asset inventory δημιουργεί την οργανωμένη εσωτερική εικόνα των τεχνολογικών πόρων που γνωρίζει και διαχειρίζεται η επιχείρηση.
Το EASM εξετάζει το περιβάλλον από διαφορετική κατεύθυνση: προσπαθεί να ανακαλύψει τι μπορεί να εντοπιστεί εξωτερικά και στη συνέχεια να συσχετίσει τα ευρήματα με την επιχείρηση.
Αυτή η διαφορά είναι σημαντική. Ένα asset μπορεί να είναι ορατό στο Internet αλλά να έχει ξεχαστεί, να μην έχει σωστό owner ή να μην βρίσκεται πλέον στο κεντρικό inventory. Το discovery και το inventory επομένως λειτουργούν συμπληρωματικά.
Γιατί δημιουργούνται άγνωστα Internet-Facing Assets;
Η εξωτερική επιφάνεια δεν είναι στατική. Αλλάζει καθώς αλλάζει η επιχείρηση και η υποδομή της.
Ένα νέο asset μπορεί να εμφανιστεί όταν:
- δημιουργείται νέο cloud workload ή web application,
- ένας συνεργάτης ενεργοποιεί υπηρεσία για λογαριασμό της επιχείρησης,
- ένα προσωρινό test environment παραμένει ενεργό,
- ένα παλιό domain ή subdomain εξακολουθεί να οδηγεί σε ενεργή υπηρεσία,
- μια remote-access ή management υπηρεσία εκτίθεται στο Internet,
- μια αλλαγή δικτύου ή cloud configuration δημιουργεί νέα δημόσια πρόσβαση.
Για αυτό μια απογραφή που έγινε μία φορά δεν αποτελεί από μόνη της συνεχή έλεγχο της εξωτερικής έκθεσης.
Τι πρέπει να κάνει μια ΜΜΕ όταν βρει ένα Asset;
Η ανακάλυψη ενός Internet-facing asset δεν σημαίνει αυτόματα ότι υπάρχει vulnerability ή ότι το asset πρέπει να κλείσει. Πρώτα χρειάζεται να επιβεβαιωθεί τι είναι, σε ποιον ανήκει και αν η έκθεσή του είναι επιχειρησιακά απαραίτητη.
Για κάθε σημαντικό εύρημα ελέγξτε:
- Ownership: ανήκει πράγματι στην επιχείρηση ή σε εξουσιοδοτημένο provider;
- Purpose: ποια επιχειρηματική λειτουργία εξυπηρετεί;
- Exposure: χρειάζεται πραγματικά να είναι προσβάσιμο από το Internet;
- Support: το προϊόν και η έκδοσή του εξακολουθούν να υποστηρίζονται;
- Configuration: υπάρχουν περιττές υπηρεσίες ή management interfaces;
- Vulnerabilities: υπάρχουν γνωστές ευπάθειες που απαιτούν αξιολόγηση και remediation;
- Inventory: βρίσκεται το asset στο επίσημο inventory και έχει σαφή owner;
External Attack Surface και Vulnerability Management
Το EASM δεν αντικαθιστά το vulnerability scanning ούτε ένα ολοκληρωμένο vulnerability-management πρόγραμμα.
Απαντά πρώτα σε μια διαφορετική ερώτηση: ποια εξωτερικά assets πρέπει να βρίσκονται μέσα στο scope του ελέγχου;
Αφού εντοπιστεί και επιβεβαιωθεί ένα asset, οι ευπάθειες και οι λανθασμένες configurations του πρέπει να αξιολογούνται μέσω των κατάλληλων vulnerability και configuration-management διαδικασιών.
Η εξωτερική έκθεση αποτελεί επίσης σημαντικό στοιχείο προτεραιοποίησης. Η CISA δίνει ιδιαίτερη έμφαση στην αντιμετώπιση vulnerabilities σε Internet-facing συστήματα και στη μείωση περιττής δημόσιας έκθεσης.
Δεν χρειάζεται κάθε σύστημα να είναι στο Internet
Ένα από τα πιο χρήσιμα αποτελέσματα της διαδικασίας είναι να εντοπιστούν υπηρεσίες που είναι δημόσια προσβάσιμες χωρίς να υπάρχει πλέον πραγματική ανάγκη.
Όταν μια υπηρεσία πρέπει να παραμείνει Internet-facing, χρειάζεται κατάλληλη προστασία ανάλογα με τον ρόλο και την τεχνολογία της. Όταν όμως η δημόσια πρόσβαση δεν εξυπηρετεί επιχειρησιακό σκοπό, η αφαίρεση της περιττής έκθεσης μειώνει άμεσα το attack surface.
Αυτό συνδέεται με το system hardening: το EASM βοηθά να βρεθεί η έκθεση, ενώ το hardening βοηθά να περιοριστούν περιττές υπηρεσίες, λειτουργίες και μη ασφαλείς configurations.
Πρακτική διαδικασία για μια ΜΜΕ
- Ξεκινήστε από όσα γνωρίζετε: καταγράψτε domains, public IP ranges, websites, cloud environments και βασικές Internet-facing υπηρεσίες.
- Συγκρίνετε discovery και inventory: διερευνήστε όσα εμφανίζονται εξωτερικά αλλά δεν υπάρχουν στην εγκεκριμένη απογραφή.
- Επιβεβαιώστε ownership: μην θεωρείτε ότι κάθε εύρημα που μοιάζει σχετικό ανήκει πράγματι στην επιχείρηση.
- Αφαιρέστε περιττή έκθεση: απενεργοποιήστε ή περιορίστε υπηρεσίες που δεν χρειάζεται να είναι δημόσια προσβάσιμες, αφού ελεγχθούν οι επιχειρησιακές dependencies.
- Περάστε τα επιβεβαιωμένα assets στις κανονικές διαδικασίες: inventory, patching, vulnerability management, hardening και monitoring.
- Επαναλάβετε το discovery: η εξωτερική επιφάνεια αλλάζει καθώς προστίθενται ή αφαιρούνται συστήματα και υπηρεσίες.
Τι δεν πρέπει να κάνετε;
Μην αντιμετωπίζετε κάθε αποτέλεσμα ενός discovery tool ως επιβεβαιωμένο εταιρικό asset ή πραγματική vulnerability. Η συσχέτιση μπορεί να χρειάζεται ανθρώπινη επιβεβαίωση.
Επίσης, μην αφαιρείτε ή μπλοκάρετε μια υπηρεσία μόνο επειδή εμφανίστηκε ως εξωτερικά προσβάσιμη. Πρώτα πρέπει να επιβεβαιώνονται ο owner, ο επιχειρησιακός σκοπός και οι πιθανές dependencies.
Ο στόχος δεν είναι να εξαφανιστεί κάθε Internet-facing σύστημα. Είναι η επιχείρηση να γνωρίζει τι εκθέτει, γιατί το εκθέτει και ποιος είναι υπεύθυνος για την προστασία του.
Πώς μπορεί να βοηθήσει η DataShield
Η DataShield μπορεί να βοηθήσει μια επιχείρηση να αξιολογήσει την εξωτερική της έκθεση, να συσχετίσει τα ευρήματα με το πραγματικό IT inventory και να εντοπίσει Internet-facing assets που χρειάζονται περαιτέρω έλεγχο, hardening ή vulnerability assessment.
Η διαδικασία έχει μεγαλύτερη αξία όταν συνδέεται με τη συνολική ασφάλεια του εταιρικού δικτύου και δεν αντιμετωπίζεται ως ένα μεμονωμένο scan.
Ένα Free IT Audit μπορεί να αποτελέσει αφετηρία για την καταγραφή της υπάρχουσας έκθεσης και την προτεραιοποίηση των σημαντικότερων ευρημάτων.
Συμπέρασμα
Το External Attack Surface Management καλύπτει ένα απλό αλλά κρίσιμο κενό: τη διαφορά ανάμεσα σε όσα πιστεύει η επιχείρηση ότι έχει εκτεθειμένα και σε όσα είναι πραγματικά ορατά από το Internet.
Για μια ΜΜΕ, η πρακτική προσέγγιση είναι να συνδυάζει εξωτερικό discovery, επιβεβαίωση ownership, ενημερωμένο asset inventory και οργανωμένη αντιμετώπιση της περιττής έκθεσης και των vulnerabilities. Έτσι το attack surface γίνεται κάτι που μπορεί να παρακολουθείται και να διαχειρίζεται, αντί να παραμένει άγνωστο.
