Viskas, ką svetimas pasiekia iš interneto.
Jūsų atakos paviršius — tai kiekvienas hostas, programa, API ir failas, kurį atveriate į išorę, nesvarbu, ar kas nors dar prisimena jį atvėręs. Užpuolikai jį nubraižo pirmiausia. Mes norėtume, kad tai padarytumėte jūs.
Didesnis nei sąrašas, kurį jums davė.
Atakos paviršius nėra schema. Tai viskas, kas atsiliepia, kai kas nors internete pasibeldžia, įskaitant dalykus, kurių niekas jūsų komandoje nė nesugalvotų įrašyti į sąrašą.
Domenai ir subdomenai
Kiekvienas pavadinimas jūsų DNS ir kiekvienas kada nors jums išduotas sertifikatas. Sertifikatų skaidrumo žurnalai tą sąrašą daro viešą, nesvarbu, ar jį skaitote.
Programos, API ir administravimo skydeliai
Klientų portalai, prisijungimo puslapiai, GraphQL galiniai taškai ir Grafana skydelis, kurį kažkas atvėrė demonstracijai. Kiekvienas jų — durys su savo spyna.
Debesija ir saugyklos
Vieši adresai, apkrovos balansavimo įrenginiai, kibirai ir duomenų bazės AWS, Azure ar GCP. Vienas spustelėjimas konsolėje bet kurį iš jų gali padaryti viešą.
Tiekėjai ir likučiai
Agentūros kampanijos svetainė jūsų domene, tiekėjo portalas, pernykštis migracijos serveris. Sukūrė kažkas kitas. Atakuojamas jis vis tiek kaip jūsų.
Jis keičiasi jūsų neklausdamas. Naujas subdomenas, šįryt išduotas sertifikatas, migracijai atlaisvinta ir taip ir neužverta ugniasienės taisyklė. Kartą nubraižytas žemėlapis pasensta per kelias savaites.
Neapginsite to, ko niekas neįrašė.
Daug incidentų prasideda ne nuo gudraus išnaudojimo. Jie prasideda nuo kažko pasiekiamo, į ką niekas nežiūrėjo.
Užpuolikai pradeda čia
Jie skaito tuos pačius sertifikatų žurnalus ir DNS įrašus kaip ir mes, automatiškai ir be perstojo. Kas pirmas nubraižo jūsų paviršių, tas pirmas ir bando.
Nuo to priklauso kiti jūsų įrankiai
Skeneriai, jūsų SOC ir atnaujinimų diegimas apima tik tą turtą, apie kurį žino. Pamirštas hostas lieka už visų trijų ribų iš karto.
To reikalauja reguliuotojai
Ir NIS2, ir DORA tikisi, kad žinote ir valdote savo IRT turtą. „Nežinojome, kad jis egzistuoja“ nėra atsakymas, kurį priima auditoriai.
Švarus kodas vis tiek gali būti atviras.
Pažangiausi modeliai, tokie kaip Anthropic Claude Mythos, randa klaidas, dešimtmečius slėpusias kode. SonarQube pagauna trūkumus kiekviename pull request. Palikite abu.
Abu atsako į vieną klausimą: ar šis kodas saugus? Užpuolikai klausia ko kito: kas ten veikia ir ar galiu patekti vidun? Kodas nežino, kur jis įdiegtas, kokia konfigūracija stovi priešais jį ir kas dar dalijasi tuo pačiu domenu.
| Kas atverta | DI kodo peržiūraMythos klasės modeliai | Statinė analizėSonarQube ir panašūs | FriendlyFlareIš išorės, kas savaitę |
|---|---|---|---|
| Trūkumas skenuojamoje saugykloje |
Apima: Jo tiesioginis darbas |
Apima: Kiekviename pull request |
Iš dalies: Jei pasiekiamas, įrodome |
| Rankomis įdiegta bandomoji kopija |
Nemato: Diegimų nemato |
Nemato: Ne konvejeryje |
Apima: Randama per DNS ir sertifikatus |
| Konsolėje viešu paverstas saugyklos kibiras |
Nemato: Konsolės nustatymai nėra kodas |
Nemato: Konsolės nustatymai nėra kodas |
Apima: Randama ir testuojama iš išorės |
| Tarpinio serverio ar ugniasienės taisykle atvertas administravimo skydelis |
Nemato: Taisyklė gyvena už saugyklos ribų |
Nemato: Taisyklė gyvena už saugyklos ribų |
Apima: Pasiekta ir įrodyta |
| DI programų kūrimo įrankiu sukurta programa |
Nemato: Nėra saugyklos, į kurią nukreipti |
Nemato: Nėra konvejerio, kurį saugoti |
Apima: Randama kaip bet kuris kitas hostas |
| Tiekėjo hostas jūsų domene |
Nemato: Ne jūsų kodas |
Nemato: Ne jūsų kodas |
Apima: Įtraukiamas į žemėlapį, testuojamas, jei patenka į apimtį |
| Ar tai galima išnaudoti produkcinėje aplinkoje |
Iš dalies: Samprotaujama, produkcijoje nebandoma |
Nemato: Šablono atitikmuo |
Apima: Užklausa, atsakymas, ekrano nuotrauka |
Tai ne priekaištas kodo įrankiams. Taisykite tai, ką jie randa, nes taip viską, ką testuojame, sunkiau pralaužti. Mes dengiame tą dalį, kurios jie iš principo nemato: kas įdiegta, kur ir kas gali tai pasiekti.
Programinė įranga dabar išleidžiama greičiau, nei peržiūrima.
Bet kas, turintis promptą, iki pietų gali paleisti veikiančią programą internete. Tai tikrai naudinga. Tai taip pat reiškia, kad jūsų atakos paviršius auga tomis dienomis, kai niekas neužregistravo nė vienos užduoties.
Daugiau kūrėjų, mažiau peržiūrų
Rinkodara, pardavimai ir operacijos dabar patys išleidžia savo įrankius. Dauguma jų niekada nematė grėsmių modelio, ir niekas jų to neprašė.
Diegimai, aplenkiantys konvejerį
Vienas spustelėjimas programų kūrimo įrankyje publikuoja tiesiai į talpinimo platformą. SonarQube patikra taip ir nepasileidžia, nes nėra konvejerio, kuriame ji galėtų pasileisti.
Tos pačios klaidos, masiškai
API raktai front-end pakete, atviros duomenų bazės taisyklės, prisijungimas tikrinamas tik naršyklėje. Sugeneruotas kodas kartoja šablonus, iš kurių mokėsi.
Kitą mėnesį ji niekieno
Žmogus, parašęs promptą, pereina prie kitų darbų, o programa toliau veikia. Anksčiau pamirštos programos kaupdavosi metus. Dabar užtenka popietės.
Taigi klausimas pasikeičia. „Ar šis kodas saugus?“ vis dar svarbu. „Kas buvo įdiegta šią savaitę ir kas gali tai pasiekti?“ dabar svarbiau. To klausimo neišspręsi skenuodamas saugyklą. Jis turi tik išorę, o išorė yra ten, kur dirbame mes.
Nubraižyti, įrodyti, palaikyti aktualų.
Jūs pateikiate įmonės pavadinimą ir vieną domeną. Viskas, kas toliau, vyksta nuo čia, pirmiausia gavus rašytinį įgaliojimą ir niekada nieko nesugadinant.
Nubraižyti
Sertifikatų žurnalai, DNS, debesų adresų blokai ir kodo saugyklos. Konkretus analitikas išbraukia tai, kas ne jūsų, o likusį sąrašą patvirtinate jūs.
Įrodyti
DI agentai kas savaitę atakuoja kiekvieną suderintą turtą, tik skaitydami ir ribotu intensyvumu. Žmogus pasirašo kiekvieną radinį, dar prieš jums jį pamatant.
Palaikyti aktualų
Išorinis žemėlapis perbraižomas kas 3–7 dienas. Naujas turtas patenka į kitą atakų ciklą, o pataisymai pertestuojami, o ne priimami patikėjus.
Pradėkite nuo žemėlapio. Nubraižome nemokamai.
Pateikite pavadinimą ir domeną. Gausite pirmąjį žemėlapį, patikrintą žmogaus, ir jis liks jums, nesvarbu, ar eisite toliau.