Поверхность атаки

Глобальная цифровая трансформация увеличила размер, охват и состав поверхности атаки организаций. Размер поверхности атаки может изменяться со временем, поскольку происходит добавление и удаление активов и цифровых систем (таких как сайты, хосты, облачные и мобильные приложения и др.). Поверхность атаки может также быстро изменяться. Цифровые активы не привязаны к физическим ограничениям традиционных сетевых устройств, серверов, дата-центров и локальных сетей. Это приводит к тому, что поверхность атаки может меняться динамично в зависимости от потребностей организации и доступности цифровых сервисов.

Охват поверхности атаки также варьируется от одной организации к другой. С развитием цифровых цепочек поставок, взаимозависимостей и процессов глобализации, поверхность атаки организации охватывает более широкий спектр угроз (различные векторы кибератак). Состав поверхности атаки включает небольшие сущности, связанные в цифровые отношения и соединения с остальной частью интернета и инфраструктурой организации, в том числе с третьими сторонами, цифровыми цепочками поставок и даже инфраструктурой, используемой противниками.

Состав поверхности атаки может существенно отличаться между организациями, но часто включает одни и те же элементы:

• номера автономных систем (ASN);
• IP-адреса и IP-блоки;
• домены и поддомены (собственные и сторонние);
• SSL-сертификаты и атрибуция;
• WHOIS-записи, контакты и история;
• Хосты и сервисы пар хостов, а также их взаимоотношения;
• интернет-порты и сервисы;
• NetFlow;
• веб-фреймворки (PHP, Apache, Java и др.);
• Сервисы веб-серверов (электронная почта, базы данных, приложения);
• публичные и частные облака.

Из-за увеличившегося количества потенциально уязвимых точек в инфраструктуре предприятий у злоумышленников появились дополнительные преимущества: чтобы провести успешную атаку, достаточно обнаружить одну уязвимую точку^[4].

Для понимания и визуализации поверхности атаки выделяют три основных этапа:

Шаг 1: Визуализация. Первым шагом является построение визуальной карты, на которой отражены все устройства, пути и сети предприятия^[4];

Шаг 2: Поиск индикаторов экспонированности. Далее необходимо сопоставить каждый индикатор возможной уязвимости с построенной картой. К индикаторам экспонированности (IOE) относятся, в частности, «отсутствие контролей безопасности в системах и программном обеспечении»^[4];

Шаг 3: Поиск индикаторов компрометации. Этот этап позволяет определить признаки того, что атака уже произошла^[4].

Одним из подходов к повышению информационной безопасности является уменьшение поверхности атаки системы или программного обеспечения. Основные стратегии снижения поверхности атаки заключаются в следующем: уменьшение объёма исполняемого кода, сокращение количества точек входа для непроверенных пользователей и устранение маловостребованных сервисов. Меньший объём кода снижает вероятность сбоев, а отключение ненужных функций уменьшает риски безопасности. Однако снижение поверхности атаки не ограничивает потенциальный ущерб, если уязвимость всё же была найдена^[5].

Внедрение программ управления поверхностью атаки (ASM, Attack Surface Management) крайне важно для организаций, стремящихся к непрерывному мониторингу и контролю своих внешних цифровых активов. ASM включает в себя выявление, анализ и устранение уязвимостей во всех интернет-ориентированных ресурсах, обеспечивая защиту потенциальных точек входа ещё до их эксплуатации злоумышленниками^[6][7][8]. Правильно построенная программа ASM предусматривает постоянное обнаружение облачных и локальных ресурсов, проверку их безопасности и оценку рисков в режиме реального времени, что позволяет организациям проактивно снижать свои поверхности атаки ещё до появления новых киберугроз^[6][8].