Allt en främling når från internet.
Er attackyta är varje värd, app, API och fil ni exponerar, oavsett om någon minns att den exponerades. Angripare kartlägger den först. Vi föredrar att ni gör det.
Större än listan ni fick.
En attackyta är inget diagram. Den är allt som svarar när någon på internet knackar på, inklusive sådant som ingen i ert team skulle komma på att räkna upp.
Domäner och subdomäner
Varje namn i er DNS och varje certifikat som någonsin utfärdats åt er. Certifikattransparensloggar gör den listan offentlig, vare sig ni läser den eller inte.
Appar, API:er och adminpaneler
Kundportaler, inloggningssidor, GraphQL-endpoints och den där Grafana-dashboarden som någon öppnade för en demo. Var och en är en dörr med sitt eget lås.
Moln och lagring
Publika adresser, lastbalanserare, buckets och databaser i AWS, Azure eller GCP. Ett klick i en konsol räcker för att göra vilken som helst av dem publik.
Leverantörer och kvarlevor
Byråns kampanjsajt på er domän, en leverantörs portal, fjolårets migreringsserver. Någon annan byggde den. Den attackeras ändå som om den vore er.
Den ändras utan att fråga er. En ny subdomän, ett certifikat utfärdat i morse, en brandväggsregel som lättades upp för en migrering och aldrig stängdes. En karta som ritas en gång är inaktuell inom några veckor.
Ni kan inte försvara det ingen listat.
Många incidenter börjar inte med en listig exploit. De börjar med något nåbart som ingen höll ögonen på.
Angripare börjar här
De läser samma certifikatloggar och DNS-poster som vi, automatiskt och hela tiden. Den som kartlägger er yta först får första försöket.
Era andra verktyg hänger på den
Skannrar, ert SOC och er patchning täcker alla de tillgångar de känner till. En bortglömd värd hamnar utanför alla tre på en gång.
Tillsynsmyndigheter kräver det
Både NIS2 och DORA förväntar sig att ni känner till och hanterar era IKT-tillgångar. ”Vi visste inte att den fanns” är inget svar som revisorer godtar.
Ren kod kan ändå stå vidöppen.
Frontiermodeller som Anthropics Claude Mythos hittar buggar som gömt sig i koden i årtionden. SonarQube fångar brister i varje pull request. Behåll båda.
Båda svarar på en fråga: är den här koden säker? Angripare ställer en annan: vad kör där ute, och kan jag ta mig in? Koden vet inte var den driftsattes, vilken konfiguration som sitter framför den eller vad mer som delar domänen.
| Vad som är exponerat | AI-kodgranskningModeller i Mythos-klassen | Statisk analysSonarQube och liknande | FriendlyFlareUtifrån, varje vecka |
|---|---|---|---|
| En brist i ett repo ni skannar |
Täcks: Dess hemmaplan |
Täcks: I varje pull request |
Delvis: Om den är nåbar bevisar vi det |
| En testkopia som driftsatts för hand |
Syns inte: Ser aldrig driftsättningar |
Syns inte: Finns inte i pipelinen |
Täcks: Hittad via DNS och certifikat |
| En lagringsbucket som gjorts publik i konsolen |
Syns inte: Konsolinställningar är inte kod |
Syns inte: Konsolinställningar är inte kod |
Täcks: Hittad och testad utifrån |
| En adminpanel som öppnats av en proxy- eller brandväggsregel |
Syns inte: Regeln finns utanför repot |
Syns inte: Regeln finns utanför repot |
Täcks: Nådd och bevisad |
| En app byggd i en AI-appbyggare |
Syns inte: Inget repo att peka den mot |
Syns inte: Ingen pipeline att spärra |
Täcks: Hittad som vilken värd som helst |
| En leverantörs värd på er domän |
Syns inte: Inte er kod |
Syns inte: Inte er kod |
Täcks: Kartlagd, och testad om den ingår i omfattningen |
| Om det går att utnyttja i produktion |
Delvis: Resonerat om, inte provat i produktion |
Syns inte: En mönstermatchning |
Täcks: Anrop, svar, skärmbild |
Det här är ingen pik mot kodverktygen. Åtgärda det de hittar, för det gör allt vi testar svårare att knäcka. Vi täcker den del de av princip inte kan se: vad som är driftsatt, var, och vem som kan nå det.
Mjukvara släpps nu snabbare än någon hinner granska.
Vem som helst med en prompt kan ha en fungerande app på internet till lunch. Det är genuint användbart. Det betyder också att er attackyta växer de dagar då ingen har lagt ett ärende.
Fler som bygger, färre granskningar
Marknad, sälj och drift släpper nu sina egna verktyg. De flesta har aldrig sett en hotmodell, och ingen bad dem göra det.
Driftsättningar som går förbi pipelinen
Ett klick i appbyggaren publicerar rakt till en hostingplattform. SonarQube-spärren körs aldrig, eftersom det inte finns någon pipeline att köra den i.
Samma misstag, i stor skala
API-nycklar i frontend-paketet, databasregler som lämnats öppna, inloggning som bara kontrolleras i webbläsaren. Genererad kod upprepar mönstren den lärt sig av.
Ingen äger den nästa månad
Den som skrev prompten går vidare och appen fortsätter att köra. Förr tog det år innan bortglömda appar hopade sig. Nu tar det en eftermiddag.
Så frågan flyttar sig. ”Är den här koden säker?” spelar fortfarande roll. ”Vad driftsattes den här veckan, och vem kan nå det?” spelar nu större roll. Den frågan har inget repo att skanna. Den har bara en utsida, och det är på utsidan vi arbetar.
Kartlägg den, bevisa den, håll den aktuell.
Ni ger oss ett företagsnamn och en domän. Allt nedan utgår därifrån, med skriftlig behörighet först och aldrig något destruktivt.
Kartlägg
Certifikatloggar, DNS, molnadressblock och kodvärdar. En namngiven analytiker plockar bort det som inte är ert, och ni bekräftar resten.
Bevisa
AI-agenter attackerar varje överenskommen tillgång varje vecka, endast läsande och hastighetsbegränsat. En människa signerar varje fynd innan ni ser det.
Håll den aktuell
Den externa kartan ritas om var 3–7 dag. Nya tillgångar går in i nästa attackomgång, och åtgärder testas om i stället för att tas på förtroende.
Börja med kartan. Vi ritar den gratis.
Ge oss ett namn och en domän. Ni får den första kartan, kontrollerad av en människa, och ni behåller den oavsett om ni går vidare.