Attack Surface Management

Attack Surface Management: što vam je javno izloženo

Većina sigurnosnih ulaganja usmjerena je prema onome što je poznato. Vatrozid štiti mrežu koju smo dokumentirali. EDR pokriva uređaje koji su u inventaru. SOC nadzire sustave koji šalju zapise. Sve to funkcionira dok se pretpostavka drži, a pretpostavka je da znamo što posjedujemo.

U praksi ta pretpostavka gotovo nikada nije točna. Napadači ne biraju ulaznu točku prema tome što je organizacija dokumentirala, nego prema tome što je dostupno s interneta. Razlika između tih dviju perspektiva naziva se napadačkom površinom, a proces njezinog sustavnog otkrivanja i nadzora Attack Surface Management.

Što Attack Surface Management zapravo jest

Attack Surface Management nije novo ime za skeniranje ranjivosti. Skeniranje ranjivosti odgovara na pitanje ima li poznati sustav poznate propuste. Attack Surface Management odgovara na prethodno pitanje: koji sustavi uopće postoje i koji su od njih vidljivi izvana.

Ključna razlika je perspektiva. Klasični sigurnosni alati gledaju iz mreže prema van. Attack Surface Management gleda iz interneta prema organizaciji, jednako kao što to čini napadač tijekom faze izviđanja. Rezultat je često neugodan, jer se otkrivaju sustavi koje nitko u organizaciji nije spomenuo tijekom procjene rizika.

Zaboravljene domene i poddomene

Domene su najčešći izvor nevidljive izloženosti. Organizacije godinama registriraju domene za marketinške kampanje, projekte, proizvode koji se više ne prodaju ili poslovne jedinice koje su u međuvremenu ugašene. Domena ostaje registrirana, DNS zapis ostaje aktivan, a sadržaj iza njega prestaje se održavati.

Poseban rizik predstavljaju poddomene koje pokazuju na resurse koji više ne postoje. Ako DNS zapis pokazuje prema cloud servisu koji je u međuvremenu ukinut, napadač može registrirati taj resurs i preuzeti kontrolu nad poddomenom. Takav napad naziva se preuzimanje poddomene i omogućuje uvjerljive phishing kampanje s legitimne domene organizacije, jer korisnik doista posjećuje adresu svoje tvrtke.

Testna i razvojna okruženja

Testna okruženja nastaju brzo i nestaju sporo. Postavljaju se za potrebe migracije, integracije, demonstracije ili razvoja, često izvan standardnog procesa odobravanja i bez iste razine zaštite kao produkcijski sustavi.

Problem nije u tome što su testna okruženja manje važna, nego u tome što vrlo često sadrže stvarne podatke. Kopija produkcijske baze na razvojnom serveru bez autentikacije jednako je vrijedna napadaču kao i produkcijski sustav, a znatno je lakše dostupna. Uz to, testna okruženja rijetko su pokrivena nadzorom, pa kompromitacija ostaje neprimijećena.

VPN portali i udaljeni pristup

Perimetarski uređaji su danas najizloženija kategorija imovine. VPN koncentratori, vatrozidi, portali za udaljeni pristup i uređaji za upravljanje mrežom po definiciji moraju biti dostupni s interneta da bi obavljali svoju funkciju.

Napadači to znaju. Kampanje poput FortiBleeda pokazale su da masovno testiranje procurjelih vjerodajnica protiv izloženih VPN sučelja daje rezultate u tisućama organizacija. Ranjivosti u Cisco ASA, FortiGate i sličnim platformama redovito se iskorištavaju unutar nekoliko dana od objave, a ponekad i tjednima prije nje.

Attack Surface Management ovdje ne služi samo za identifikaciju uređaja, nego i za odgovor na pitanje treba li pojedino administrativno sučelje uopće biti javno dostupno. Vrlo često odgovor je negativan, a izloženost je posljedica konfiguracije koja je postavljena privremeno i nikada revidirana.

RDP i drugi protokoli za udaljenu administraciju

Remote Desktop Protocol izložen prema internetu ostaje jedan od najčešćih inicijalnih vektora kod ransomware napada. Razlog je jednostavan: kombinacija javno dostupnog servisa, autentikacije koja se oslanja isključivo na lozinku i računa koji često nisu pokriveni višefaktorskom autentikacijom.

Isto vrijedi za SSH, baze podataka izložene na standardnim portovima, sučelja za upravljanje virtualizacijskom infrastrukturom i alate za udaljenu podršku. Svaki od tih servisa ima legitimnu poslovnu svrhu, ali rijetko ima legitimnu potrebu za neograničenom dostupnošću s cijelog interneta.

Certifikati i njihova skrivena vrijednost za napadača

Isteknuti certifikati obično se tretiraju kao operativni problem, jer uzrokuju upozorenja u pregledniku i prekid usluge. Sigurnosna dimenzija je manje očita.

Javni zapisi o izdanim certifikatima, poznati kao Certificate Transparency logovi, javno su dostupna baza podataka. Napadač iz njih može rekonstruirati popis poddomena organizacije, uključujući one koje nisu nigdje objavljene i za koje se pretpostavljalo da su interne. Certifikat izdan za testni ili administrativni sustav trajno otkriva postojanje tog sustava, neovisno o tome je li on ikada bio namijenjen javnosti.

Cloud resursi

Cloud infrastruktura mijenja se brže od dokumentacije koja je prati. Spremišta objekata, virtualni strojevi, kontejnerski registri, funkcije i API sučelja nastaju kroz automatizirane procese, često bez centralne evidencije.

Najčešći problem nije sofisticirani napad, nego pogrešna konfiguracija. Spremište podataka postavljeno kao javno dostupno radi jednostavnijeg testiranja, API sučelje bez autentikacije, sigurnosna grupa koja dopušta promet sa svih adresa. Takve konfiguracije ne generiraju alarm jer sustav radi točno onako kako je konfiguriran.

Shadow IT

Shadow IT obuhvaća sve tehnološke resurse koje zaposlenici uvode izvan formalnog procesa. Aplikacija za dijeljenje datoteka koju je odjel počeo koristiti jer je službeno rješenje presporo. Alat za suradnju s vanjskim partnerom. Instanca u cloudu koju je razvojni tim otvorio privatnom karticom.

Shadow IT rijetko nastaje iz namjere zaobilaženja pravila, nego iz potrebe da se posao obavi. To ga ne čini manje rizičnim. Takvi resursi nisu obuhvaćeni sigurnosnim politikama, nisu u inventaru, nemaju definiranog vlasnika i nisu pokriveni nadzorom, a često sadrže poslovne podatke.

Zašto godišnji inventar nije rješenje

Uobičajeni odgovor na ovaj problem je izrada inventara imovine. To je nužan korak, ali sam po sebi nedovoljan, iz dva razloga.

Prvi je da inventar nastaje iznutra. Sastavlja ga netko tko popisuje ono što zna da postoji, pa se propusti u znanju prenose u dokument. Drugi je da inventar zastarijeva od trenutka nastanka. Okruženje u kojem se resursi stvaraju kroz automatizirane procese mijenja se svakodnevno, a dokument koji se ažurira jednom godišnje opisuje stanje koje više ne postoji.

Attack Surface Management rješava oba problema time što otkrivanje provodi izvana i kontinuirano, umjesto iznutra i povremeno.

Kako to izgleda u praksi

Proces se svodi na četiri koraka koji se ponavljaju.

Otkrivanje počinje od poznatih polazišnih točaka, kao što su registrirane domene, rasponi javnih adresa i imena organizacije, te ih koristi za pronalaženje povezanih resursa kroz javne izvore podataka.

Klasifikacija svakom pronađenom resursu pridružuje vlasnika, svrhu i poslovnu važnost. Ovaj korak je najzahtjevniji jer zahtijeva suradnju s poslovnim dijelom organizacije, ali bez njega rezultat ostaje popis bez konteksta.

Procjena izloženosti utvrđuje koje ranjivosti, pogrešne konfiguracije ili nepotrebno otvorene usluge postoje na pronađenim resursima i koliko su lako iskoristive.

Sanacija određuje što se uklanja, što se štiti dodatnim mjerama i što ostaje uz prihvaćeni rizik. Resursi koji nemaju poslovnu svrhu najbolje se rješavaju gašenjem, a ne dodatnim ulaganjem u njihovu zaštitu.

Veza s regulatornim obvezama

Zakon o kibernetičkoj sigurnosti i NIS2 direktiva zahtijevaju od obveznika upravljanje rizicima informacijske sigurnosti, sigurnost mrežnih i informacijskih sustava te postupanje s incidentima. Sve te obveze pretpostavljaju poznavanje opsega sustava na koji se odnose. Analiza rizika za imovinu koja nije identificirana nije provedena analiza rizika.

ISO/IEC 27001:2022 istu logiku ugrađuje kroz kontrole vezane uz inventar imovine, upravljanje tehničkim ranjivostima i sigurnost mreža. Norma zahtijeva evidenciju imovine, ali ne propisuje kako se osigurava njezina potpunost. Upravo tu Attack Surface Management daje mehanizam provjere.

Zaključak

Napadačka površina nije statična veličina koja se izmjeri jednom i zabilježi u dokument. Ona raste sa svakom novom domenom, svakim testnim okruženjem, svakom cloud instancom i svakom aplikacijom koju netko uvede izvan formalnog procesa.

Organizacija koja ne zna što joj je javno izloženo ne može procijeniti vlastiti rizik, ne može odrediti prioritete zaštite i ne može smisleno odgovoriti na incident. Prvi korak prema obrani nije nabava dodatnog alata, nego odgovor na pitanje što se sve vidi izvana.

To pitanje ima odgovor. Pitanje je samo hoće li ga organizacija pronaći prva.

‍