Quando uma empresa começa a mapear sua superfície de ataque, uma das primeiras surpresas costuma ser bastante simples: aparecem coisas que ninguém lembrava que ainda estavam publicadas.
Um subdomínio criado para uma campanha antiga. Uma aplicação de testes que acabou permanecendo acessível. Um endereço IP associado a um serviço que já deveria ter sido desativado. Uma API utilizada por uma integração que mudou há meses.
Nem sempre há algo vulnerável nesses ativos. Esse não é necessariamente o problema.
O primeiro problema é descobrir que eles ainda existem — e que podem ser encontrados por alguém de fora da organização.
Esse é um bom ponto de partida para entender o que chamamos de superfície de ataque.
O que faz parte da superfície de ataque?
De forma geral, a superfície de ataque é o conjunto de ativos, sistemas, aplicações, serviços, interfaces e outros pontos que podem ser alcançados ou utilizados por um atacante para tentar acessar sistemas, obter dados sensíveis ou comprometer uma organização.
O NIST define attack surface a partir dos pontos de um sistema ou ambiente nos quais um atacante pode tentar entrar, causar algum efeito ou extrair dados.
Na prática, isso pode envolver websites e aplicações web, endereços IP, portas e serviços publicados, APIs, ambientes cloud, aplicações mobile, repositórios públicos e diferentes componentes que acabam conectando uma organização à Internet.
Mas a superfície de ataque não se resume a fazer uma lista desses ativos.
Imagine que uma empresa tenha 200 subdomínios.
O número, sozinho, diz muito pouco.
Alguns podem apontar para aplicações importantes e bem administradas. Outros podem não responder. Um deles talvez seja um ambiente legado esquecido. Outro pode expor uma tecnologia vulnerável. Pode existir ainda um subdomínio que nem sequer esteja no inventário oficial da empresa.
Todos aparecem na descoberta. Mas não representam necessariamente a mesma coisa do ponto de vista de segurança.
É aqui que começamos a sair de um simples inventário e olhar para como esses ativos estão expostos.
A dificuldade é que esse inventário não fica parado
Se a superfície de ataque fosse relativamente estática, seria suficiente fazer um bom levantamento algumas vezes por ano e manter uma planilha atualizada.
Na realidade, ela muda o tempo todo.
Novas aplicações entram em produção. Ambientes são criados para projetos temporários. Serviços cloud são publicados. APIs aparecem para atender novas integrações. Fornecedores passam a operar componentes do ambiente. Endereços IP mudam. Aplicações são migradas.
E há também o caminho contrário: sistemas que deveriam desaparecer, mas não desaparecem completamente.
Esse último caso é especialmente interessante porque, internamente, o sistema pode já ter deixado de fazer parte da operação. A equipe mudou, o projeto terminou, a aplicação foi substituída.
Para quem olha de fora, porém, basta que ela continue acessível.
O problema do ativo esquecido é que, normalmente, o atacante não esqueceu dele.
Não porque alguém esteja especificamente acompanhando aquele ativo, mas porque a Internet pode ser continuamente pesquisada, indexada e analisada. Um serviço antigo não precisa estar no inventário oficial para ser encontrado.
O OWASP, por exemplo, inclui a identificação da superfície de ataque entre as atividades de coleta de informações em testes de segurança de aplicações web. A lógica é bastante direta: antes de procurar formas de comprometer um ambiente, é preciso entender o que existe e onde estão seus possíveis pontos de entrada.
E é justamente por isso que a visão externa costuma revelar situações interessantes.
Ela não parte necessariamente do que a organização acredita possuir. Parte daquilo que pode ser encontrado.
Nem toda mudança precisa acontecer no ativo
Há outro aspecto da superfície de ataque que às vezes passa despercebido.
Um ativo pode permanecer exatamente como estava ontem e, mesmo assim, passar a exigir mais atenção hoje.
Imagine um serviço publicado na Internet há meses. Nenhuma configuração foi alterada. O endereço continua o mesmo, a porta continua aberta e a versão do software também.
Então é divulgada uma nova vulnerabilidade para aquela versão.
Alguns dias depois aparece um exploit público.
Mais tarde começam a surgir evidências de exploração no mundo real.
Do ponto de vista de inventário, praticamente nada aconteceu.
Do ponto de vista de risco, muita coisa aconteceu.
Por isso, acompanhar a superfície de ataque não significa apenas descobrir quando surgem novos ativos. Também significa observar quando o contexto de algo que já estava exposto muda.
Esse é um dos motivos pelos quais um retrato pontual do ambiente envelhece relativamente rápido.
Superfície de ataque não é a mesma coisa que vetor de ataque
Os dois conceitos aparecem juntos com frequência e é fácil misturá-los.
A superfície de ataque representa os pontos que podem ser utilizados ou alcançados por um atacante.
O vetor de ataque é o caminho ou método utilizado para tentar explorar um desses pontos.
Uma aplicação web pública, por exemplo, faz parte da superfície de ataque. Uma vulnerabilidade naquela aplicação pode permitir que ela seja utilizada como parte de um vetor de ataque.
Mas um vetor também pode começar de outra forma.
Uma credencial corporativa vazada pode permitir acesso a um serviço remoto. Um secret exposto em um repositório pode dar acesso a uma API. Um serviço sensível publicado na Internet pode permitir uma tentativa direta de comprometimento.
Na prática, é comum que o vetor envolva mais de uma etapa.
E é aí que apenas saber que um ativo existe começa a ser insuficiente. Queremos entender o que pode ser feito a partir dele.
Voltaremos a esse assunto com mais profundidade em outro Insight, porque vetor de ataque merece uma discussão própria.
Uma superfície maior significa necessariamente mais risco?
Não.
Uma organização global com milhares de ativos pode ter uma superfície de ataque muito maior do que uma empresa pequena e, ainda assim, administrar suas exposições de forma bastante mais eficiente.
Da mesma maneira, uma empresa com poucos ativos pode manter justamente um serviço crítico em uma condição de exposição inadequada.
Contar ativos ajuda a entender a dimensão do ambiente. Não determina, sozinho, o risco.
Quando analisamos uma superfície de ataque, algumas coisas acabam sendo mais úteis do que o número absoluto: quais ativos estão acessíveis, quais serviços estão publicados, que tecnologias estão sendo utilizadas, que exposições existem e se alguma delas oferece condições interessantes para um atacante.
Às vezes um único ativo merece mais atenção do que centenas de outros.
Essa distinção é importante porque existe uma tendência natural de transformar visibilidade em volume: mais domínios encontrados, mais IPs, mais portas, mais findings.
Mas encontrar mais coisas não significa necessariamente compreender melhor o risco.
Onde entra o Attack Surface Management?
É nesse contexto que surge o Attack Surface Management (ASM).
A ideia não é simplesmente executar uma descoberta de ativos uma vez e considerar o trabalho concluído. O objetivo é manter visibilidade sobre uma superfície que continua mudando, identificar exposições e acompanhar o que acontece com elas ao longo do tempo.
Isso aproxima o ASM de uma visão que um atacante teria do ambiente: olhar de fora para dentro, procurar o que está acessível e tentar entender quais oportunidades aquela exposição pode oferecer.
Há uma diferença importante aí.
O inventário interno normalmente responde:
“O que sabemos que temos?”
A análise da superfície de ataque tenta responder também:
“O que alguém de fora consegue encontrar?”
Quando as duas respostas são diferentes, normalmente existe algo que vale a pena investigar.
Às vezes será apenas um ativo que precisava ser incorporado ao inventário. Em outras situações pode aparecer um serviço sensível, uma aplicação antiga, uma credencial vazada, um repositório exposto ou alguma configuração que merece análise.
Nem toda descoberta será um risco relevante.
E esse talvez seja justamente o ponto.
O objetivo de conhecer a superfície de ataque não deveria ser produzir a maior quantidade possível de findings. Deveria ser conseguir separar aquilo que simplesmente existe daquilo que realmente merece atenção.
Porque descobrir é só o começo.
Referências
Continue explorando
- O que é CTEM e como funciona o Continuous Threat Exposure Management?
- Gestão de Vulnerabilidades: por que severidade não é suficiente para definir prioridade?
- O que é um vetor de ataque? Entenda a relação com a superfície de ataque
Quer levar essa visão para a sua superfície de ataque?
Conheça como o Lion Focus ajuda a descobrir, acompanhar, validar e priorizar exposições cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
