Nos dois primeiros artigos desta série, olhamos para o início de um ataque a partir de duas perspectivas.
Primeiro, pensamos como um atacante: antes de tentar comprometer uma organização, ele pode pesquisar aquilo que está disponível na Internet e construir um mapa da sua superfície de ataque.
Depois, olhamos para os dados. Relatórios recentes da Verizon, Mandiant, IBM X-Force e ENISA mostram que a exploração de vulnerabilidades e sistemas acessíveis externamente desempenha um papel importante no início de ataques reais.
Isso nos leva a uma pergunta inevitável:
Se um atacante consegue descobrir e analisar nossa superfície externa, conseguimos enxergá-la da mesma forma?
É justamente essa necessidade que está no centro do Attack Surface Management (ASM).
Antes de proteger, é preciso saber o que existe
Toda organização possui ativos digitais.
Domínios, subdomínios, websites, aplicações, APIs, endereços IP, infraestrutura cloud, serviços de acesso remoto e diferentes tecnologias fazem parte do ambiente tecnológico moderno.
O problema é que o ambiente conhecido pela organização nem sempre corresponde exatamente ao ambiente que pode ser encontrado na Internet.
Novos sistemas entram em produção. Ambientes temporários são criados. Projetos são descontinuados. Empresas são adquiridas. Serviços migram para cloud. Novos fornecedores entram no ecossistema.
E alguns ativos simplesmente deixam de ser acompanhados.
É assim que podem surgir ativos desconhecidos, esquecidos ou não gerenciados.
Para o atacante, porém, existe uma diferença fundamental:
Ele não precisa que um ativo esteja no inventário da organização para encontrá-lo.
Se estiver acessível externamente, pode fazer parte da superfície que ele observa.
O que é Attack Surface Management?
De forma simples, Attack Surface Management é o processo contínuo de descobrir, identificar, acompanhar e analisar os ativos e exposições que compõem a superfície de ataque de uma organização.
Quando esse processo se concentra especificamente na presença acessível pela Internet, o mercado utiliza amplamente o termo External Attack Surface Management (EASM).
A ideia central é observar a organização de fora para dentro — outside-in.
Em vez de começar exclusivamente pelo inventário interno e perguntar:
“Quais ativos nós temos?”
A perspectiva muda para:
“O que alguém do lado de fora — um adversário — consegue encontrar associado à nossa organização?”
Essa diferença parece pequena, mas muda significativamente o ponto de partida.
O EASM busca justamente descobrir, inventariar e acompanhar os ativos digitais que compõem a presença externa da organização, incluindo recursos desconhecidos ou não gerenciados, proporcionando uma visão da infraestrutura a partir de uma perspectiva externa.[1][2]
O inventário conhecido não conta necessariamente toda a história
Imagine uma organização cujo inventário oficial contenha 100 ativos externos.
A organização monitora esses ativos, executa análises de vulnerabilidade e acompanha atualizações.
Mas existe uma pergunta anterior:
Esses são realmente todos os ativos que podem ser encontrados externamente?
Talvez exista um subdomínio criado por outra unidade de negócio.
Uma aplicação antiga que permaneceu publicada depois do encerramento de um projeto.
Um endereço IP associado a uma infraestrutura que não está mais documentada.
Um ambiente cloud criado diretamente para atender a uma necessidade específica.
Uma aplicação de uma empresa adquirida que ainda utiliza sua infraestrutura original.
Ou um serviço externo que ninguém incluiu no processo formal de gestão.
Esse fenômeno costuma estar associado ao conceito de Shadow IT, mas não se limita a ele. Mudanças organizacionais, crescimento, aquisições, descentralização tecnológica e a própria velocidade com que a infraestrutura digital é criada podem ampliar a superfície externa sem que todos os elementos cheguem imediatamente ao inventário central.
É justamente por isso que a descoberta de ativos desconhecidos representa uma capacidade importante dentro do EASM.[2]
A descoberta começa pelo que já conhecemos
Como descobrir algo que não sabemos que existe?
Normalmente, o processo começa com algumas informações conhecidas sobre a organização.
Por exemplo:
- Domínios.
- Endereços e blocos IP.
- Hosts.
- ASNs.
- Informações de registro e outras relações de infraestrutura.
Esses elementos podem funcionar como pontos iniciais de descoberta.
A partir deles, relações técnicas disponíveis externamente podem revelar novos ativos associados à organização.
Um domínio pode levar a subdomínios.
Um certificado digital pode revelar outros hosts.
Um endereço IP pode estar associado a diferentes serviços.
Registros e relações de infraestrutura podem levar a outros elementos.
Essas novas descobertas, por sua vez, podem gerar outras relações.
É assim que o processo começa a construir algo muito parecido com aquilo que descrevemos no primeiro artigo:
Um mapa da superfície de ataque da organização.
O processo de descoberta pode partir de ativos conhecidos e expandir progressivamente essa visão por meio das relações encontradas, revelando infraestrutura que anteriormente poderia estar desconhecida ou não monitorada.[2]
Descobrir é apenas o primeiro passo
Encontrar um ativo não significa necessariamente que existe um risco.
Uma aplicação publicada na Internet pode estar ali porque precisa estar acessível.
O objetivo do ASM não é tratar toda exposição como vulnerabilidade.
O próximo passo é entender o que existe naquele ativo e como ele está exposto.
Por exemplo:
- Quais serviços estão acessíveis?
- Quais tecnologias estão sendo utilizadas?
- Existem vulnerabilidades conhecidas?
- Existem configurações inadequadas?
- Há interfaces administrativas expostas?
- O ativo utiliza protocolos ou configurações inseguras?
- Existem serviços sensíveis acessíveis externamente?
- O ativo ainda deveria estar publicado?
É nessa etapa que o inventário começa a ganhar contexto de exposição.
A CISA recomenda que as organizações identifiquem quais ativos estão acessíveis pela Internet, avaliem se essa exposição é realmente necessária e, para aqueles que precisam permanecer expostos, identifiquem e mitiguem os riscos existentes.[3]
E a superfície muda
Existe ainda um desafio que torna o conceito de Management particularmente importante.
A superfície de ataque não é estática.
Hoje uma organização pode possuir determinado conjunto de ativos externos.
Amanhã, uma nova API é publicada.
Na próxima semana, um novo ambiente cloud entra em produção.
Um fornecedor altera uma configuração.
Um novo subdomínio é criado.
Um serviço que antes estava restrito passa a responder pela Internet.
Ou uma nova vulnerabilidade é descoberta em uma tecnologia que já estava exposta.
Por isso, realizar uma descoberta uma única vez produz apenas uma fotografia daquele momento.
Attack Surface Management precisa ser contínuo porque a própria superfície de ataque muda continuamente.
Descobrir e acompanhar essas mudanças permite que a organização mantenha uma visão mais atualizada da sua presença externa e das relações entre os ativos que fazem parte dela.[2]
ASM não é simplesmente um scanner de vulnerabilidades
Essa distinção é importante.
Um scanner de vulnerabilidades e o ASM podem trabalhar de forma complementar, mas começam com perguntas diferentes.
Em um processo tradicional de gestão de vulnerabilidades, normalmente existe um conjunto de ativos que será analisado:
“Analise estes sistemas e identifique suas vulnerabilidades.”
No ASM, existe uma pergunta anterior:
“Quais sistemas existem e podem ser encontrados externamente?”
Somente depois de descobrir e compreender essa superfície é possível analisar de forma mais completa quais vulnerabilidades e outras exposições existem nela.
A CISA também diferencia conceitualmente asset discovery de vulnerability enumeration: primeiro identificamos os ativos existentes; depois podemos analisar atributos, versões, configurações e vulnerabilidades associadas a esses ativos.[4]
Essa diferença é fundamental:
Não é possível avaliar aquilo que você nem sabe que existe.
Da visibilidade para a ação
Descobrir centenas ou milhares de ativos e exposições, porém, cria outro problema.
O que tratar primeiro?
Uma lista extensa pode aumentar a visibilidade, mas não necessariamente melhora a capacidade de decisão.
Por isso, a descoberta e o monitoramento da superfície precisam ser acompanhados de contexto. Informações sobre os ativos, vulnerabilidades, configurações, serviços expostos e outros sinais ajudam a compreender quais exposições merecem maior atenção.
O objetivo não é apenas aumentar a quantidade de informações disponíveis, mas transformar visibilidade em capacidade de decisão.
E aqui começamos a chegar a outra evolução importante.
Porque descobrir a superfície é fundamental.
Monitorá-la continuamente também.
Mas enxergar não significa necessariamente compreender o risco real que cada exposição representa para o negócio.
Uma vulnerabilidade crítica em um ativo pode exigir atenção imediata.
Outra exposição pode parecer tecnicamente menos severa, mas estar associada a um sistema sensível ou oferecer uma oportunidade relevante dentro de uma cadeia de ataque.
É nesse ponto que a discussão começa a avançar de Attack Surface Management para algo mais amplo:
Cyber Exposure.
Mas esse será o tema do próximo artigo.
Enxergar como o atacante
Nosso ponto de partida nesta série foi simples:
O atacante não enxerga a organização a partir do inventário interno. Ele enxerga aquilo que a Internet mostra.
Attack Surface Management procura reduzir justamente essa diferença de perspectiva.
Descobrir aquilo que está exposto.
Identificar ativos que talvez não estivessem sendo acompanhados.
Entender como eles estão acessíveis.
Monitorar mudanças.
E transformar essa visibilidade em informação que permita agir antes que uma exposição se transforme em uma oportunidade de ataque.
Porque, quando falamos de superfície de ataque, existe uma pergunta que nenhuma organização deveria deixar apenas para o atacante responder:
E você, como está gerenciando a superfície de ataque da sua organização?
Referências
- Gartner — External Attack Surface Management (EASM) Market Definition
- Microsoft Learn — Defender External Attack Surface Management: Discovery
- CISA — Internet Exposure Reduction Guidance
- CISA — BOD 23-01: Improving Asset Visibility and Vulnerability Detection on Federal Networks
Continue explorando
- Como começa um ataque cibernético?
- Superfície de ataque externa: o que os dados recentes mostram sobre o início dos ataques
- Attack Surface Management e Validação Ofensiva
- Superfície de ataque externa: 7 pontos cegos que ampliam a exposição
Quer levar essa visão para a sua superfície de ataque?
Conheça como o Lion Focus ajuda a descobrir, acompanhar, validar e priorizar exposições cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
