En los dos primeros artículos de esta serie, analizamos el inicio de un ataque desde dos perspectivas.
Primero, pensamos como un atacante: antes de intentar comprometer una organización, puede investigar aquello que está disponible en Internet y construir un mapa de su superficie de ataque.
Después, analizamos los datos. Informes recientes de Verizon, Mandiant, IBM X-Force y ENISA muestran que la explotación de vulnerabilidades y sistemas accesibles externamente desempeña un papel importante en el inicio de ataques reales.
Esto nos lleva a una pregunta inevitable:
Si un atacante puede descubrir y analizar nuestra superficie externa, ¿podemos verla de la misma manera?
Esta necesidad se encuentra precisamente en el centro del Attack Surface Management (ASM).
Antes de proteger, es necesario saber qué existe
Toda organización posee activos digitales.
Dominios, subdominios, sitios web, aplicaciones, APIs, direcciones IP, infraestructura cloud, servicios de acceso remoto y diferentes tecnologías forman parte del entorno tecnológico actual.
El problema es que el entorno conocido por la organización no siempre corresponde exactamente al entorno que puede ser descubierto en Internet.
Nuevos sistemas entran en producción. Se crean entornos temporales. Se discontinúan proyectos. Se adquieren empresas. Los servicios migran a cloud. Nuevos proveedores pasan a formar parte del ecosistema.
Y algunos activos simplemente dejan de ser monitoreados.
Así pueden surgir activos desconocidos, olvidados o no gestionados.
Para el atacante, sin embargo, existe una diferencia fundamental:
No necesita que un activo esté en el inventario de la organización para encontrarlo.
Si está accesible externamente, puede formar parte de la superficie que observa.
¿Qué es Attack Surface Management?
De forma simple, Attack Surface Management es el proceso continuo de descubrir, identificar, monitorear y analizar los activos y exposiciones que componen la superficie de ataque de una organización.
Cuando este proceso se concentra específicamente en la presencia accesible desde Internet, se utiliza ampliamente el término External Attack Surface Management (EASM).
La idea central es observar la organización de afuera hacia adentro — outside-in.
En lugar de comenzar exclusivamente por el inventario interno y preguntar:
“¿Qué activos tenemos?”
La perspectiva cambia hacia:
“¿Qué puede encontrar alguien desde afuera — un adversario — asociado a nuestra organización?”
Esta diferencia puede parecer pequeña, pero cambia significativamente el punto de partida.
EASM busca descubrir, inventariar y monitorear los activos digitales que componen la presencia externa de la organización, incluyendo recursos desconocidos o no gestionados, proporcionando una visión de la infraestructura desde una perspectiva externa.[1][2]
El inventario conocido no necesariamente cuenta toda la historia
Imaginemos una organización cuyo inventario oficial contiene 100 activos externos.
La organización monitorea estos activos, realiza análisis de vulnerabilidades y acompaña sus actualizaciones.
Pero existe una pregunta anterior:
¿Son realmente estos todos los activos que pueden ser descubiertos externamente?
Quizás exista un subdominio creado por otra unidad de negocio.
Una aplicación antigua que permaneció publicada después de finalizar un proyecto.
Una dirección IP asociada a una infraestructura que ya no está documentada.
Un entorno cloud creado para atender una necesidad específica.
Una aplicación de una empresa adquirida que todavía utiliza su infraestructura original.
O un servicio externo que nunca fue incluido en el proceso formal de gestión.
Este fenómeno suele estar asociado al concepto de Shadow IT, pero no se limita a él. Los cambios organizacionales, el crecimiento, las adquisiciones, la descentralización tecnológica y la propia velocidad con la que se crea infraestructura digital pueden ampliar la superficie externa sin que todos sus elementos lleguen inmediatamente al inventario central.
Precisamente por eso, el descubrimiento de activos desconocidos representa una capacidad importante dentro del EASM.[2]
El descubrimiento comienza por lo que ya conocemos
¿Cómo descubrir algo que no sabemos que existe?
Normalmente, el proceso comienza con alguna información conocida sobre la organización.
Por ejemplo:
- Dominios.
- Direcciones y rangos IP.
- Hosts.
- ASNs.
- Información de registro y otras relaciones de infraestructura.
Estos elementos pueden funcionar como puntos iniciales de descubrimiento.
A partir de ellos, las relaciones técnicas disponibles externamente pueden revelar nuevos activos asociados a la organización.
Un dominio puede llevar a subdominios.
Un certificado digital puede revelar otros hosts.
Una dirección IP puede estar asociada a diferentes servicios.
Los registros y las relaciones de infraestructura pueden conducir a otros elementos.
Estos nuevos descubrimientos, a su vez, pueden revelar relaciones adicionales.
Así, el proceso comienza a construir algo muy similar a lo que describimos en el primer artículo:
Un mapa de la superficie de ataque de la organización.
El proceso de descubrimiento puede partir de activos conocidos y ampliar progresivamente esta visión mediante las relaciones identificadas, revelando infraestructura que anteriormente podía ser desconocida o no estar monitoreada.[2]
Descubrir es solo el primer paso
Encontrar un activo no significa necesariamente que exista un riesgo.
Una aplicación publicada en Internet puede estar allí porque necesita estar accesible.
El objetivo del ASM no es tratar toda exposición como una vulnerabilidad.
El siguiente paso es comprender qué existe en ese activo y cómo está expuesto.
Por ejemplo:
- ¿Qué servicios están accesibles?
- ¿Qué tecnologías se están utilizando?
- ¿Existen vulnerabilidades conocidas?
- ¿Existen configuraciones inadecuadas?
- ¿Hay interfaces administrativas expuestas?
- ¿El activo utiliza protocolos o configuraciones inseguras?
- ¿Existen servicios sensibles accesibles externamente?
- ¿El activo debería continuar publicado?
Es en esta etapa cuando el inventario comienza a adquirir contexto de exposición.
CISA recomienda que las organizaciones identifiquen qué activos están accesibles desde Internet, evalúen si esa exposición es realmente necesaria y, para aquellos que deben permanecer expuestos, identifiquen y mitiguen los riesgos existentes.[3]
Y la superficie cambia
Existe además un desafío que hace que el concepto de Management sea particularmente importante.
La superficie de ataque no es estática.
Hoy una organización puede tener un determinado conjunto de activos externos.
Mañana se publica una nueva API.
La próxima semana, un nuevo entorno cloud entra en producción.
Un proveedor modifica una configuración.
Se crea un nuevo subdominio.
Un servicio que antes estaba restringido pasa a responder desde Internet.
O se descubre una nueva vulnerabilidad en una tecnología que ya estaba expuesta.
Por eso, realizar un descubrimiento una sola vez proporciona únicamente una fotografía de ese momento.
Attack Surface Management necesita ser continuo porque la propia superficie de ataque cambia continuamente.
Descubrir y monitorear estos cambios permite que la organización mantenga una visión más actualizada de su presencia externa y de las relaciones entre los activos que forman parte de ella.[2]
ASM no es simplemente un scanner de vulnerabilidades
Esta distinción es importante.
Un scanner de vulnerabilidades y ASM pueden trabajar de forma complementaria, pero comienzan con preguntas diferentes.
En un proceso tradicional de gestión de vulnerabilidades, normalmente existe un conjunto de activos que será analizado:
“Analiza estos sistemas e identifica sus vulnerabilidades.”
En ASM existe una pregunta anterior:
“¿Qué sistemas existen y pueden ser descubiertos externamente?”
Solo después de descubrir y comprender esta superficie es posible analizar de forma más completa qué vulnerabilidades y otras exposiciones existen en ella.
CISA también diferencia conceptualmente asset discovery de vulnerability enumeration: primero se identifican los activos existentes; después pueden analizarse sus atributos, versiones, configuraciones y vulnerabilidades asociadas.[4]
Esta diferencia es fundamental:
No es posible evaluar aquello que ni siquiera sabemos que existe.
De la visibilidad a la acción
Descubrir cientos o miles de activos y exposiciones, sin embargo, crea otro problema.
¿Qué debemos tratar primero?
Una lista extensa puede aumentar la visibilidad, pero no necesariamente mejora la capacidad de decisión.
Por eso, el descubrimiento y el monitoreo de la superficie deben estar acompañados de contexto. La información sobre los activos, vulnerabilidades, configuraciones, servicios expuestos y otras señales ayuda a comprender qué exposiciones merecen mayor atención.
El objetivo no es simplemente aumentar la cantidad de información disponible, sino transformar visibilidad en capacidad de decisión.
Y aquí comenzamos a llegar a otra evolución importante.
Porque descubrir la superficie es fundamental.
Monitorearla continuamente también.
Pero ver no significa necesariamente comprender el riesgo real que cada exposición representa para el negocio.
Una vulnerabilidad crítica en un activo puede requerir atención inmediata.
Otra exposición puede parecer técnicamente menos severa, pero estar asociada a un sistema sensible u ofrecer una oportunidad relevante dentro de una cadena de ataque.
Es en este punto donde la discusión comienza a avanzar desde Attack Surface Management hacia algo más amplio:
Cyber Exposure.
Pero ese será el tema de nuestro próximo artículo.
Ver como el atacante
Nuestro punto de partida en esta serie fue simple:
El atacante no ve la organización a partir de su inventario interno. Ve aquello que Internet muestra.
Attack Surface Management busca reducir precisamente esa diferencia de perspectiva.
Descubrir aquello que está expuesto.
Identificar activos que quizás no estaban siendo monitoreados.
Comprender cómo están accesibles.
Monitorear los cambios.
Y transformar esta visibilidad en información que permita actuar antes de que una exposición se convierta en una oportunidad de ataque.
Porque, cuando hablamos de superficie de ataque, existe una pregunta que ninguna organización debería dejar únicamente para que el atacante la responda:
Y usted, ¿cómo está gestionando la superficie de ataque de su organización?
Referencias
- Gartner — External Attack Surface Management (EASM) Market Definition
- Microsoft Learn — Defender External Attack Surface Management: Discovery
- CISA — Internet Exposure Reduction Guidance
- CISA — BOD 23-01: Improving Asset Visibility and Vulnerability Detection on Federal Networks
Continúa explorando
- ¿Cómo comienza un ataque cibernético?
- Superficie de ataque externa: qué muestran los datos recientes sobre el inicio de los ataques
- Attack Surface Management y Validación Ofensiva
- Superficie de ataque externa: 7 puntos ciegos que aumentan la exposición
¿Quieres llevar esta visión a tu superficie de ataque?
Conoce cómo Lion Focus ayuda a descubrir, monitorear, validar y priorizar exposiciones cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
