Attack Surface Management: cos'è
L'Attack Surface Management (ASM) è il processo continuo con cui un'azienda scopre, inventaria, classifica e sorveglia tutti i punti da cui potrebbe essere attaccata: indirizzi, servizi, domini, applicazioni, account.
In breve
La superficie di attacco è l'insieme di tutto ciò che un aggressore può raggiungere: server e servizi pubblicati su Internet, sottodomini, applicazioni web, caselle di posta, account cloud, dispositivi nella rete interna, persone. L'Attack Surface Management serve a tenerne un elenco completo e aggiornato, perché non si può proteggere ciò che non si sa di avere.
Come funziona
Il lavoro si ripete in un ciclo:
- scoperta: si parte da dati certi (dominio, indirizzi IP, ragione sociale) e si cercano gli asset collegati, per esempio i sottodomini registrati nei DNS o nei registri pubblici dei certificati;
- inventario: ogni asset trovato viene confermato o scartato, e chi ne è responsabile lo sa;
- classificazione: si dichiara quanto conta ciascun asset per l'azienda;
- analisi: sugli asset confermati girano i controlli, a partire dal vulnerability assessment;
- sorveglianza: la ricerca riparte, perché la superficie cambia ogni settimana.
Quando l'attenzione è sulla parte visibile da Internet si parla anche di EASM (External Attack Surface Management).
Perché è importante
Molti incidenti partono da qualcosa che nessuno ricordava di avere esposto: un ambiente di prova lasciato acceso, un vecchio sito di una campagna marketing, un pannello di amministrazione pubblicato per comodità da un fornitore. Il vulnerability assessment analizza in profondità ciò che gli indichi; l'ASM decide che cosa indicargli. Senza il secondo, il primo lavora su un perimetro incompleto.
C'è anche un aspetto di priorità: sapere che un asset è il gestionale di produzione e un altro una pagina statica cambia l'ordine in cui affronti i rilievi, a parità di punteggio CVSS.
Esempio
Un'azienda meccanica censisce il proprio sito e la posta. La ricerca automatica trova anche test.nomeazienda.it, creato anni prima da un'agenzia web per provare un aggiornamento del sito: è ancora online, con un CMS mai aggiornato e il pannello di accesso raggiungibile. Nessuno lo considerava parte dell'azienda, ma per un attaccante lo è. Il sottodominio viene spento e, da quel momento, ogni nuovo sottodominio scoperto arriva come proposta da valutare.
Per un quadro su come impostare questi controlli in una piccola impresa vedi cyber security per PMI.
Termini collegati
- Vulnerability assessment
- Dark web: anche le credenziali esposte fanno parte della superficie
- Hardening
- Supply chain attack
Dove lo trovi in Dottor Box
Dottor Box nasce come software proprietario di Attack Surface Management. La Superficie di Attacco è il registro di reti, indirizzi pubblici, applicazioni, domini email e parole chiave da monitorare, con la criticità di ciascun asset; ogni notte propone i sottodomini scoperti e non ancora censiti.
Superficie di Attacco
Il registro ragionato di reti, indirizzi, applicazioni e domini da proteggere, con la criticità di ciascuno.
Scopri di più VedereX-Ray Cyber Security
Cosa vede della tua azienda chi la guarda da Internet, con un punteggio di rischio da cui partire.
Scopri di più VedereAsset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più