Alt, en fremmed kan nå fra internettet.
Jeres angrebsflade er hver vært, app, API og fil, I eksponerer, uanset om nogen kan huske at have eksponeret den. Angribere kortlægger den først. Vi vil hellere have, at det er jer.
Større end den liste, I fik.
En angrebsflade er ikke et diagram. Det er alt, der svarer, når nogen på internettet banker på, også ting, ingen i jeres team ville finde på at nævne.
Domæner og subdomæner
Hvert navn i jeres DNS og hvert certifikat, der nogensinde er udstedt til jer. Certifikattransparens-logfiler gør den liste offentlig, uanset om I læser den eller ej.
Apps, API'er og adminpaneler
Kundeportaler, loginsider, GraphQL-endpoints og det Grafana-dashboard, nogen åbnede til en demo. Hver af dem er en dør med sin egen lås.
Cloud og lagring
Offentlige adresser, load balancere, buckets og databaser i AWS, Azure eller GCP. Ét klik i en konsol kan gøre hvilken som helst af dem offentlig.
Leverandører og efterladenskaber
Bureauets kampagnesite på jeres domæne, en leverandørs portal, sidste års migreringsserver. Andre har bygget det. Det bliver stadig angrebet som jer.
Den ændrer sig uden at spørge jer. Et nyt subdomæne, et certifikat udstedt her til morgen, en firewallregel, der blev løsnet til en migrering og aldrig strammet igen. Et kort, der tegnes én gang, er forældet inden for få uger.
I kan ikke forsvare det, ingen har skrevet op.
Mange hændelser starter ikke med et snedigt exploit. De starter med noget, der kunne nås, og som ingen holdt øje med.
Angribere starter her
De læser de samme certifikatlogfiler og DNS-poster som vi, automatisk og hele tiden. Den, der kortlægger jeres flade først, får første forsøg.
Jeres andre værktøjer afhænger af den
Scannere, jeres SOC og jeres patching dækker de aktiver, de kender til. En glemt vært står uden for alle tre på én gang.
Myndighederne spørger efter den
Både NIS2 og DORA forventer, at I kender og styrer jeres IKT-aktiver. "Vi vidste ikke, at den fandtes" er ikke et svar, revisorer accepterer.
Ren kode kan stadig stå på vid gab.
Frontiermodeller som Anthropics Claude Mythos finder fejl, der har gemt sig i koden i årtier. SonarQube fanger fejl i hver pull request. Behold begge.
Begge svarer på ét spørgsmål: er den her kode sikker? Angribere stiller et andet: hvad kører derude, og kan jeg komme ind? Koden ved ikke, hvor den blev deployet, hvilken konfiguration der sidder foran den, eller hvad der ellers deler domænet.
| Hvad der er eksponeret | AI-kodegennemgangModeller i Mythos-klassen | Statisk analyseSonarQube og lignende | FriendlyFlareUdefra, hver uge |
|---|---|---|---|
| En fejl i et repository, I scanner |
Dækket: Dens hjemmebane |
Dækket: Ved hver pull request |
Delvist: Kan den nås, beviser vi det |
| En stagingkopi, der er deployet i hånden |
Ikke synligt: Ser aldrig deployments |
Ikke synligt: Ikke i pipelinen |
Dækket: Fundet via DNS og certifikater |
| En lagerbucket, der er gjort offentlig i konsollen |
Ikke synligt: Konsolindstillinger er ikke kode |
Ikke synligt: Konsolindstillinger er ikke kode |
Dækket: Fundet og testet udefra |
| Et adminpanel, der er åbnet af en proxy- eller firewallregel |
Ikke synligt: Reglen bor uden for repoet |
Ikke synligt: Reglen bor uden for repoet |
Dækket: Nået og bevist |
| En app bygget i en AI-appbygger |
Ikke synligt: Intet repository at pege den mod |
Ikke synligt: Ingen pipeline at stoppe den i |
Dækket: Fundet som enhver anden vært |
| En leverandørs vært på jeres domæne |
Ikke synligt: Ikke jeres kode |
Ikke synligt: Ikke jeres kode |
Dækket: Kortlagt, og testet hvis den er i scope |
| Om det kan udnyttes i produktion |
Delvist: Ræsonneret om, ikke prøvet i produktion |
Ikke synligt: Et mønstermatch |
Dækket: Kald, svar, skærmbillede |
Det her er ikke et hip til kodeværktøjerne. Ret det, de finder, for det gør alt, vi tester, sværere at bryde. Vi dækker den del, de slet ikke er bygget til at se: hvad der er deployet, hvor, og hvem der kan nå det.
Software udgives nu hurtigere, end nogen gennemgår den.
Alle med en prompt kan have en fungerende app på internettet inden frokost. Det er ærligt talt nyttigt. Det betyder også, at jeres angrebsflade vokser på dage, hvor ingen har oprettet en sag.
Flere byggere, færre gennemgange
Marketing, salg og drift udgiver nu deres egne værktøjer. De fleste af dem har aldrig set en trusselsmodel, og ingen har bedt dem om det.
Deploys uden om pipelinen
Ét klik i appbyggeren udgiver direkte til en hostingplatform. SonarQube-tjekket kører aldrig, for der er ingen pipeline at køre det i.
De samme fejl, i stor skala
API-nøgler i frontend-bundlen, databaseregler, der står åbne, login, der kun tjekkes i browseren. Genereret kode gentager de mønstre, den har lært af.
Ingen ejer den næste måned
Den, der promptede den frem, går videre, og appen bliver ved med at køre. Glemte apps plejede at tage år om at hobe sig op. Nu tager det en eftermiddag.
Så flytter spørgsmålet sig. "Er den her kode sikker?" betyder stadig noget. "Hvad blev deployet i denne uge, og hvem kan nå det?" betyder nu mere. Det spørgsmål har intet repository at scanne. Det har kun en yderside, og ydersiden er der, hvor vi arbejder.
Kortlæg den, bevis det, hold den aktuel.
I giver os et firmanavn og ét domæne. Alt nedenfor kører derfra, med skriftlig bemyndigelse først og aldrig noget destruktivt.
Kortlæg
Certifikatlogfiler, DNS, cloud-adresseområder og kodeværter. En navngivet analytiker fjerner det, der ikke er jeres, og I bekræfter resten.
Bevis
AI-agenter angriber hvert aftalt aktiv hver uge, læsende og hastighedsbegrænset. Et menneske skriver under på hvert fund, før I ser det.
Hold den aktuel
Det eksterne kort tegnes om hver 3.–7. dag. Nye aktiver kommer med i næste angrebsrunde, og rettelser gentestes i stedet for at blive taget på tro.
Start med kortet. Vi tegner det gratis.
Giv os et navn og et domæne. I får det første kort, tjekket af et menneske, og I beholder det, uanset om I går videre.