Eliminujte riziká tieňového IT s automatizovaným objavovaním útočnej plochy

Poznáte ten pocit, keď na svojom pevnom disku nájdete náhodný, starý priečinok projektu spred piatich rokov a pýtate sa: "Prečo som to, preboha, uložil?" Teraz si predstavte rovnaký scenár, ale namiesto priečinka je to živý, zabudnutý staging server umiestnený na verejnej IP adrese. Beží na ňom zastaraná verzia Apache, obsahuje databázu s "testovacími" používateľskými údajmi (ktoré sú v skutočnosti reálnymi zákazníckymi údajmi z roku 2021) a nemá žiadne heslo na administrátorskom paneli.

To je v skratke Shadow IT. Sú to veci, ktoré vaša spoločnosť používa – alebo používala – a o ktorých váš bezpečnostný tím nevie, že existujú.

Dlho sa IT oddelenia snažili potlačiť Shadow IT prísnymi politikami a obmedzenými oprávneniami. To však v skutočnosti nefunguje. Vývojári sú platení za to, aby veci stavali rýchlo; ak oficiálny proces obstarávania nového cloudového nástroja trvá tri týždne, jednoducho použijú firemnú kreditnú kartu na skúšobnú verziu SaaS a pustia sa do práce. Marketing môže spustiť mikrosite pre kampaň na náhodnom VPS a zabudnúť o tom niekomu povedať. Zrazu je vaša "oficiálna" sieťová mapa fikciou.

Nebezpečenstvo nespočíva len v tom, že ľudia porušujú pravidlá. Nebezpečenstvo je, že nemôžete chrániť to, čo nevidíte. Hackeri nezačínajú útokom na váš silne opevnený hlavný firewall; hľadajú zabudnutý dev server, nezaplátovaný API endpoint, alebo "dočasný" cloudový bucket, ktorý bol ponechaný otvorený pre verejnosť. Preto automatizované objavovanie útočnej plochy už nie je "príjemným bonusom" – je to jediný spôsob, ako držať krok s rýchlosťou moderných cloudových nasadení.

Čo presne je Shadow IT a prečo je magnetom pre útočníkov?

Ak máme byť úprimní, Shadow IT sa zvyčajne rodí z túžby po efektivite. Zvyčajne nie je zlomyseľné. Je to vývojár, ktorý sa snaží otestovať novú knižnicu, projektový manažér používajúci neautorizovanú Trello tabuľu na organizáciu sprintu, alebo obchodný zástupca používajúci konvertor PDF tretej strany na odoslanie zmluvy.

Avšak, z bezpečnostného hľadiska sú tieto medzery zlatými baňami. Keď je zdroj "v tieni", obchádza štandardný bezpečnostný životný cyklus. Nezíska integráciu SSO spoločnosti, neskenuje ho firemný manažér zraniteľností a určite sa nezaplátuje počas mesačného okna údržby.

Anatómia narušenia Shadow IT

Zamyslite sa nad tým, ako dnes dochádza k typickému narušeniu. Útočník sa zvyčajne "nehackne" cez hlavné dvere. Namiesto toho vykonáva prieskum. Používajú nástroje ako Shodan alebo Censys na nájdenie aktív spojených s vašou doménou alebo rozsahmi IP adries.

Môžu nájsť:

Osirelé subdomény: dev-api-test.example.com, ktorá bola použitá pre projekt pred dvoma rokmi, ale je stále aktívna.
Zabudnuté cloudové buckety: AWS S3 bucket s názvom example-company-backups, ktorý má náhodou verejný prístup na čítanie.
Nespravované SaaS aplikácie: Tím používajúci náhodný nástroj na riadenie projektov, kam nahrali citlivé firemné plány, ale účet je viazaný na osobný e-mail bývalého zamestnanca.
Staré API: Verzia 1 API, ktorá mala byť v roku 2022 zastaraná, ale stále prijíma požiadavky kvôli nejakému starému klientovi.

Keď útočník nájde tieto "temné" aktíva, hľadá známe zraniteľnosti (CVEs). Keďže tieto aktíva nie sú spravované, sú takmer vždy zastarané. Akonáhle získajú oporu v shadow aktíve, často sa môžu laterálne presunúť do vášho produkčného prostredia. "Tieň" sa stáva mostom do srdca vašej spoločnosti.

Pasca "jedného časového bodu"

Mnoho spoločností sa to snaží vyriešiť každoročným Penetration Testom. Najmú si špecializovanú firmu, tá strávi dva týždne prehľadávaním a dodá 60-stranovú PDF správu.

Tu je problém: v momente, keď je správa doručená, je už zastaraná. Na druhý deň vývojár nahrá novú zostavu do cloudového prostredia, marketingový stážista vytvorí novú vstupnú stránku a je vystavený nový API endpoint. Ak objavíte svoju útočnú plochu len raz ročne, ste efektívne slepí 364 dní.

Mechanizmy automatizovaného objavovania útočnej plochy

V boji proti Shadow IT musíte prestať vnímať svoju sieť ako statickú mapu a začať o nej uvažovať ako o živom organizme. Automatizované objavovanie útočnej plochy (často nazývané External Attack Surface Management alebo EASM) je proces nepretržitého identifikovania a monitorovania všetkých aktív prístupných z internetu.

Namiesto spoliehania sa na tabuľku, o ktorej si niekto myslí, že je aktualizovaná, automatizované objavovanie využíva rovnaké techniky, aké používajú hackeri – avšak na účely obrany.

Fáza 1: Prieskum a identifikácia aktív

Prvým krokom je „nájdenie vecí“. Nejde len o kontrolu zoznamu známych IP adries. Robustný automatizovaný systém využíva niekoľko objavovacích vektorov:

DNS Enumeration: Kontrola subdomén prostredníctvom hrubej sily (brute-forcing), prenosov zón a vyhľadávania vo verejných záznamoch (Certificate Transparency logs). Ak bol vydaný certifikát pre internal-test.company.com, systém vie, že toto aktívum existuje.
IP Range Scanning: Skenovanie známych firemných IP blokov a vyhľadávanie „susedných“ IP adries, ktoré by mohli patriť spoločnosti, ale nie sú zdokumentované.
WHOIS and Domain Analysis: Vyhľadávanie domén registrovaných zamestnancami spoločnosti alebo spojených s firemnými e-mailovými adresami.
Cloud Provider Discovery: Automatická identifikácia bucketov, snapshotov a inštancií naprieč AWS, Azure a GCP, ktoré sú označené (alebo neoznačené) ako patriace organizácii.

Fáza 2: Charakterizácia a Fingerprinting

Keď je nájdený zoznam aktív, systém potrebuje vedieť, čo sú zač. IP adresa je len číslo; „fingerprint“ vám povie celý príbeh.

Nástroj bude analyzovať:

Otvorené porty: Je otvorený port 80? A čo 22 (SSH) alebo 3389 (RDP)?
Identifikácia služieb: Beží na ňom Nginx? Apache? Vlastná Java aplikácia?
Detekcia verzií: Beží na tom Nginx serveri verzia 1.14 (zraniteľná) alebo 1.25 (opravená)?
Technologický stack: Používa PHP, Python alebo Node.js? To pomáha prioritizovať, ktoré zraniteľnosti sú vôbec možné.

Fáza 3: Mapovanie zraniteľností

Teraz, keď vieme, čo beží a kde sa to nachádza, systém mapuje tieto zistenia proti známym databázam zraniteľností. Ak fáza fingerprintingu našla starú verziu JBoss, systém ju okamžite označí ako vysoké riziko kvôli známym chybám vzdialeného vykonávania kódu (RCE).

Tu nastáva prechod od „objavovania“ k „správe“. Nielenže nájdete server; nájdete problém.

Fáza 4: Nepretržité monitorovanie

Toto je „automatizovaná“ časť, ktorá robí rozdiel. Namiesto jednorazového skenovania systém vykonáva túto činnosť v slučke. Detekuje, keď sa v DNS logoch objaví nová subdoména alebo keď sa náhle otvorí port na cloudovej inštancii. To mení bezpečnosť z „ročnej udalosti“ na stream v reálnom čase.

Prečo tradičné skenery zraniteľností nestačia

Možno si myslíte: "Už máme skener zraniteľností. Prečo potrebujeme objavovanie útočnej plochy?"

Je to častá mylná predstava, ale existuje zásadný rozdiel: Skenery nachádzajú zraniteľnosti v aktívach, o ktorých už viete. Objavovanie nachádza aktíva, o ktorých ste nevedeli, že ich máte.

"Známe-známe" vs. "Neznáme-neznáme"

Tradičné skenery (ako Nessus alebo Qualys) zvyčajne vyžadujú zoznam cieľov. Zadávate im rozsah IP adries alebo zoznam URL, a oni vám povedia, čo je chybné. To je skvelé pre správu vašich "Známych-známych".

Ale Shadow IT pozostáva z "Neznámych-neznámych". Ak skeneru nepoviete, aby skontroloval dev-temp-site.company.cloud, skener to nikdy nenájde. Skener nehľadá nové aktíva; audituje tie existujúce.

Problém trenia

Mnohé tradičné skenery sú "ťažkopádne". Môžu byť invazívne, potenciálne spôsobujúce pády starých služieb alebo spúšťajúce tisíce upozornení, ktoré zahltia bezpečnostný tím. To vedie k "bezpečnostnému treniu", kde bezpečnostný tím váha spúšťať skeny často, pretože nechce narušiť produkciu.

Moderné, cloud-natívne platformy ako Penetrify k tomu pristupujú inak. Zameraním sa na perspektívu "zvonku dovnútra" (napodobňujúc pohľad hackera) dokážu identifikovať expozície bez potreby inštalovať agentov na každý jeden stroj alebo riskovať pády internej siete.

Porovnávacia tabuľka: Tradičné skenovanie vs. Automatizované objavovanie

Funkcia	Tradičné skenovanie zraniteľností	Automatizované objavovanie útočnej plochy (EASM)
Primárny cieľ	Nájsť chyby v známych aktívach	Nájsť neznáme aktíva a ich chyby
Požadovaný vstup	Preddefinovaný zoznam IP adries alebo domén	Počiatočné "semeno" (napr. koreňová doména)
Životný cyklus	Plánované/V konkrétnom čase	Nepretržité/V reálnom čase
Perspektíva	Často zvnútra von (na báze agentov)	Zvonku dovnútra (perspektíva útočníka)
Detekcia Shadow IT	Nízka (nemôže skenovať to, čo nepozná)	Vysoká (navrhnutá na nájdenie skrytých aktív)
Zameranie	Záplatovanie a konfigurácia	Správa expozícií a viditeľnosť

Krok za krokom: Ako implementovať stratégiu správy útočnej plochy

Ak si uvedomujete, že vaša organizácia má pravdepodobne značné množstvo Shadow IT, neprepadajte panike. Nemusíte zmraziť celý vývoj, aby ste to napravili. Namiesto toho môžete implementovať fázovaný prístup k opätovnému získaniu kontroly.

Krok 1: Definujte svoje "semená"

Nezačínate skenovaním celého internetu. Začínate s "semenami" – známymi kúskami informácií, ktoré vedú k ďalším aktívam.

Koreňové domény: company.com
Známe rozsahy IP adries: Bloky vášho primárneho dátového centra.
ASN (Autonomous System Number): Ak vaša spoločnosť vlastní vlastné smerovanie siete.
Profily na sociálnych médiách/v cloude: Identifikácia bežných konvencií pomenovania používaných vašimi vývojármi.

Krok 2: Spustite počiatočnú základnú detekciu

Použite nástroj – či už ide o kombináciu open-source nástrojov (ako Amass alebo Subfinder) alebo spravovanú platformu ako Penetrify – na zmapovanie všetkého, čo je momentálne viditeľné zvonku.

Počas tejto fázy pravdepodobne nájdete veci, ktoré vás prekvapia. Nájdete "testovaciu" stránku z roku 2018 a "experimentálne" API, ktoré nikdy nebolo vypnuté. Nesúďte tímy, ktoré ich vytvorili; len ich zdokumentujte.

Krok 3: Klasifikácia a vlastníctvo aktív

Toto je najťažšia časť. Máte zoznam 200 aktív a 40 z nich je "neznámych". Kto ich vlastní?

Vytvorte proces na "nárokovanie" aktív. Pošlite zoznam vedúcim oddelení DevOps a Engineering a spýtajte sa: "Vie niekto, čo to je? Je to ešte potrebné?"

Aktívne a spravované: Ponechajte ho, presuňte ho na oficiálny monitorovací zoznam.
Aktívne, ale tieňové: Zaraďte ho do oficiálneho bezpečnostného rámca (záplatujte ho, pridajte jednotné prihlásenie).
Opustené: Okamžite ho vypnite. Toto je "rýchle víťazstvo" pre bezpečnosť.

Krok 4: Prioritizujte nápravu (prístup založený na riziku)

Nemôžete opraviť všetko naraz. Použite maticu závažnosti na rozhodnutie, čo riešiť ako prvé.

Kritické: Neznáme aktívum s verejne prístupnou zraniteľnosťou RCE (Remote Code Execution) alebo otvorenou databázou.
Vysoké: Neznáme aktívum bežiace na zastaranom OS so známymi exploitmi, alebo stránka bez SSL/TLS.
Stredné: Nesprávne nakonfigurované hlavičky, únik informácií (napr. verzia servera zobrazená v hlavičkách).
Nízke: Menšie nezrovnalosti vo verziách, ktoré nemajú známy verejný exploit.

Krok 5: Integrácia s CI/CD Pipeline

Aby ste zabránili návratu Shadow IT, musíte posunúť bezpečnosť "doľava". To znamená integrovať objavovanie a testovanie do vývojového procesu.

Ak vývojár spustí nové prostredie v AWS, toto prostredie by malo byť automaticky detekované a skenované vašou bezpečnostnou platformou. V čase, keď kód dosiahne "produkciu", mal by už prejsť automatizovaným cyklom Penetration Testingu. Tu model "Continuous Threat Exposure Management (CTEM)" prekonáva starý "raz ročne" audit.

Časté chyby pri riešení Shadow IT

Aj s tými správnymi nástrojmi firmy často padajú do niekoľkých bežných pascí. Vyhnutie sa im vám ušetrí veľa času a frustrácie.

Chyba 1: Prístup "kladiva"

Niektorí bezpečnostní pracovníci reagujú na Shadow IT zákazom všetkých neautorizovaných cloudových nástrojov. Blokujú prístup k AWS, Azure a rôznym SaaS platformám na úrovni firewallu.

Prečo to zlyháva: Toto nezastaví Shadow IT; len ho to zatlačí hlbšie do podzemia. Ľudia budú používať svoje osobné notebooky a domáci internet na prácu, čo znamená, že máte nulovú viditeľnosť do dát, s ktorými narábajú. Namiesto zákazu poskytnite "vydláždenú cestu" – urobte oficiálny spôsob práce takým jednoduchým, aby ho ľudia chceli používať.

Chyba 2: Únava z upozornení

Spustenie rozsiahleho objavovacieho skenovania po prvýkrát často vygeneruje tisíce výsledkov. Ak všetky tieto výsledky presmerujete priamo do kanála Slack alebo na tabuľu Jira, vaši vývojári ich začnú ignorovať.

Riešenie: Použite platformu, ktorá kategorizuje riziká podľa závažnosti a poskytuje "akčnú nápravu". Namiesto "Našli sme problém s SSL," by upozornenie malo znieť "Aktívum X používa expirovaný certifikát; kliknite sem pre zobrazenie, ako ho obnoviť."

Chyba 3: Ignorovanie "zombie" aktív

„Zombie“ aktívum je server, ktorý je stále spustený, ale nepoužíva sa na nič. Mnohé tímy ich nechávajú bežať „pre prípad“, že by bolo potrebné vrátiť sa k staršej verzii alebo skontrolovať staré záznamy.

Nebezpečenstvo: Zombie sú najľahšími cieľmi pre hackerov, pretože nikto nesleduje záznamy. Ak je zombie server kompromitovaný, nemusíte si to všimnúť celé mesiace, pretože nikto sa na tento server neprihlasuje, aby videl zvláštne špičky vo využití CPU. Ak aktívum neslúži obchodnému účelu, zrušte ho.

Chyba 4: Dôverovať iba interným zoznamom

Spoliehanie sa na CMDB (Configuration Management Database) je receptom na katastrofu. CMDB sú takmer vždy zastarané, pretože sa spoliehajú na manuálne zadávanie údajov ľuďmi. Automatizované zisťovanie by malo byť zdrojom pravdy a CMDB by sa malo aktualizovať na základe toho, čo nástroj na zisťovanie nájde.

Úloha nepretržitej správy expozície voči hrozbám (CTEM)

Odvetvie sa posúva od jednoduchého „správy zraniteľností“ smerom k nepretržitej správe expozície voči hrozbám (CTEM). Ide o holistickejší prístup, ktorý uznáva, že „zraniteľnosti“ nie sú jediným problémom – sú ním aj „expozície“.

Zraniteľnosť vs. Expozícia

Zraniteľnosť je chyba v kóde (napr. pretečenie vyrovnávacej pamäte v knižnici). Expozícia je kombinácia zraniteľnosti, konfiguračnej chyby a obchodného kontextu, ktorá vytvára cestu pre útočníka.

Napríklad:

Neaktualizovaný server v uzamknutej internej sieti je zraniteľnosť, ale má nízku expozíciu, pretože je ťažko dostupný.
Perfektne aktualizovaný server, ktorý má otvorený SSH port s predvoleným heslom, je konfiguračná chyba, ale predstavuje masívnu expozíciu, pretože je to dokorán otvorené dvere.

CTEM sa zameriava na „cestu útoku“. Pýta sa: „Ak som hacker, ako sa dostanem z internetu k zákazníckej databáze?“ To zahŕňa kombináciu zisťovania útočnej plochy so simulovanými prienikmi a simuláciami útokov (BAS).

Ako to mení bezpečnostný pracovný postup

V modeli CTEM vyzerá váš pracovný postup takto:

Rozsah: Definujte, čo je potrebné chrániť.
Objavte: Nájdite všetky aktíva (vrátane Shadow IT).
Prioritizujte: Určite, ktoré expozície sú skutočne dosiahnuteľné a zneužiteľné.
Overte: Použite automatizované Penetration Testing na zistenie, či je zraniteľnosť skutočne zneužiteľná.
Mobilizujte: Poskytnite opravu vývojárovi s jasnými pokynmi.

Dodržiavaním tohto cyklu prestanete naháňať každú „strednú“ zraniteľnosť a začnete sa zameriavať na cesty, ktoré skutočne vedú k narušeniu bezpečnosti.

Scenár z reálneho sveta: Katastrofa „zabudnutej marketingovej stránky“

Pozrime sa na hypotetický (ale veľmi bežný) scenár, aby sme videli, ako automatizované zisťovanie predchádza katastrofe.

Nastavenie: Pred dvoma rokmi spustila stredne veľká SaaS spoločnosť veľkú propagáciu konferencie. Marketingový tím najal freelancera, aby vytvoril krásnu vstupnú stránku. Freelancer spustil malý DigitalOcean droplet, nainštaloval WordPress stránku a nasmeroval na ňu subdoménu (promo2024.company.com).

Medzera: Propagácia skončila. Freelancer bol zaplatený a odišiel. Marketingový manažér na stránku zabudol. IT tím nevedel, že existuje, pretože freelancer použil vlastný účet a spoločnosti poskytol iba DNS záznam.

Zraniteľnosť: Po 18 mesiacoch bola verzia WordPressu zastaraná. Bola vydaná nová zraniteľnosť (CVE), ktorá útočníkovi umožnila nahrať web shell prostredníctvom pluginu.

Cesta útoku: Hacker pomocou nástroja ako subfinder objavil promo2024.company.com. Vykonali kontrolu verzie, zistili zastaranú inštaláciu WordPressu a nahrali webový shell. Teraz majú prístup na server, ktorý zdieľa značku spoločnosti a možno aj staré API kľúče pre mailing list uložené v konfiguračnom súbore WordPressu. Odtiaľ začnú phishovať zamestnancov spoločnosti pomocou „dôveryhodnej“ subdomény.

Ako automatizované objavovanie mení výsledok: Ak by spoločnosť používala platformu ako Penetrify, proces by vyzeral takto:

Objavovanie: Systém nepretržite monitoruje DNS záznamy. Označí promo2024.company.com ako aktívny prostriedok.
Analýza: Nástroj na fingerprinting identifikuje prostriedok ako „WordPress 5.x“ (Zastaraný).
Upozornenie: Bezpečnostný tím dostane upozornenie „Vysoká závažnosť“: Nájdený neznámy prostriedok s kritickou zraniteľnosťou.
Náprava: Bezpečnostný tím sa spýta Marketingu: „Potrebujete ešte túto promo stránku?“ Marketing odpovie „Nie.“ Server je vymazaný do piatich minút.

Útočná plocha sa zmenší ešte predtým, ako hacker spustí svoj sken.

Ako Penetrify prekonáva priepasť medzi skenermi a manuálnymi testami

Ako sme už diskutovali, zvyčajne ste uviaznutí medzi dvoma zlými možnosťami: lacné, hlučné skenery zraniteľností, ktoré prehliadajú Shadow IT, alebo drahé butikové Penetration Testy, ktoré sú zastarané v momente, keď sú dokončené.

Penetrify je navrhnutý tak, aby bol týmto mostom. Ponúka „Penetration Testing as a Service“ (PTaaS), ktorý kombinuje rozsah automatizácie s inteligenciou myslenia bezpečnostného experta.

Škálovateľné bezpečnostné testovanie na požiadanie (ODST)

Na rozdiel od tradičných firiem, ktoré vyžadujú šesť týždňov plánovania a rozsiahle vyhlásenie o práci (SOW), Penetrify poskytuje testovanie na požiadanie. Pretože je cloudové, dokáže sa škálovať naprieč celým vaším prostredím – AWS, Azure, GCP – súčasne.

Znižovanie „bezpečnostného trenia“

Najväčšou sťažnosťou od tímov DevOps je, že bezpečnostné tímy „spomaľujú veci.“ Penetrify znižuje toto trenie poskytovaním spätnej väzby v reálnom čase. Namiesto PDF správy na konci roka dostávajú vývojári použiteľné poznatky priamo v momente nasadzovania kódu.

Posun za OWASP Top 10

Zatiaľ čo základné skenery kontrolujú veci ako SQL Injection alebo Cross-Site Scripting (XSS), inteligentná analýza Penetrify hľadá komplexnejšie architektonické chyby a cesty útoku. Nielenže vám povie, že port je otvorený; povie vám, prečo je tento otvorený port rizikom v kontexte vášho špecifického cloudového nastavenia.

Akčný kontrolný zoznam pre audit vašej útočnej plochy

Ak chcete začať s čistením vášho Shadow IT už dnes, tu je praktický kontrolný zoznam. Môžete to robiť manuálne niekoľko dní, ale rýchlo pochopíte, prečo je automatizácia nevyhnutná.

Okamžité akcie („Rýchle víťazstvá“)

Auditujte svoje DNS záznamy: Hľadajte akékoľvek subdomény, ktoré nepoznáte.
Skontrolujte svoju Cloud Console: Hľadajte „nepomenované“ alebo „testovacie“ inštancie v každom regióne, v ktorom pôsobíte (nezabudnite na regióny, ktoré bežne nepoužívate!).
Preverte verejné S3/Blob úložisko: Použite základný nástroj na zistenie, či sú niektoré z bucketov vašej spoločnosti nastavené ako „Verejné.“
Vyhľadajte svoju doménu na Shodan: Pozrite sa, čo vidí zvyšok sveta, keď sa pozrie na vaše IP adresy.

Strategické akcie („Dlhodobá hra“)

Vytvorte „Zlatú bezpečnostnú cestu“: Vytvorte štandardizovaný spôsob, ako môžu vývojári spúšťať nové aktíva, ktoré sa automaticky zaregistrujú u bezpečnostného tímu.
Implementujte nástroj na automatizované objavovanie: Prejdite od manuálnych zoznamov k platforme na nepretržité objavovanie, ako je Penetrify.
Definujte životný cyklus aktív: Vytvorte politiku, ktorá vyžaduje „dátum ukončenia“ pre každé dočasné alebo projektové aktívum.
Prejdite na CTEM: Začnite sa zameriavať na útočné cesty a expozíciu namiesto len zoznamu CVEs.

Časté otázky: Bežné otázky o objavovaní útočnej plochy

O: Nespustí automatizované objavovanie bezpečnostné upozornenia v mojom vlastnom systéme? O: Áno, môže. To je v skutočnosti dobrá vec. Ak váš interný IDS (systém detekcie narušenia) nezaznamená automatizované skenovanie, potom si skutočného útočníka tiež nikto nevšimne. Použite objavovanie ako spôsob testovania vlastných monitorovacích a výstražných schopností.

O: Ako často by som mal spúšťať tieto objavovania? O: V modernom prostredí CI/CD je odpoveď „nepretržite“. Ak nasadzujete kód viackrát denne, vaša útočná plocha sa mení viackrát denne. Týždenné skenovanie je lepšie ako ročné, ale objavovanie v reálnom čase je zlatý štandard.

O: Je to legálne? Môžem skenovať aktíva vlastnej spoločnosti? O: Pokiaľ vlastníte aktíva alebo máte výslovné povolenie na ich testovanie, áno. Buďte však opatrní pri službách hostovaných tretími stranami (napríklad spravované SaaS). Vždy si skontrolujte Podmienky používania vášho poskytovateľa cloudu (AWS, Azure atď.) týkajúce sa Penetration Testing. Väčšina to už povoľuje, ale niektoré majú špecifické požiadavky na oznamovanie pre testy s vysokou intenzitou.

O: Aký je rozdiel medzi EASM a tradičným Pentestom? O: Predstavte si EASM (External Attack Surface Management) ako kontrolu „plotu a brány“ – nájde všetky vstupy a zistí, ktoré sú odomknuté. Pentest je, keď sa niekto skutočne pokúsi preliezť oknom, prejsť domom a ukradnúť šperky z trezoru. Potrebujete EASM, aby ste udržali okná zatvorené, a Pentesty, aby ste zaistili, že trezor je skutočne bezpečný.

O: Potrebujem obrovský bezpečnostný tím na správu automatizovanej platformy? O: V skutočnosti je to naopak. Tieto nástroje sú navrhnuté pre malé a stredné podniky (SME) a štíhle DevOps tímy, ktoré nemajú plnohodnotný interný Red Team. Automatizáciou nudnej časti (prieskum a skenovanie) nástroj umožňuje jednému bezpečnostnému pracovníkovi alebo vedúcemu vývojárovi vykonávať prácu troch ľudí.

Záverečné myšlienky: Viditeľnosť je najlepšia obrana

Realita je taká, že s rastom vašej spoločnosti je Shadow IT nevyhnutné. Ľudia si vždy nájdu rýchlejší spôsob, ako veci urobiť, než „oficiálny“ firemný proces. Nemôžete zastaviť rast vašej digitálnej stopy, ale môžete zabrániť tomu, aby sa stala záväzkom.

Cieľom nie je dosiahnuť stav „nulového Shadow IT“ – to je fantázia. Cieľom je dosiahnuť stav nulovej neznámej expozície.

Keď prejdete z modelu auditu „v danom čase“ na model nepretržitého objavovania, zmeníte hru. Prestanete dobiehať útočníkov a začnete predvídať ich kroky. Nájdete zabudnutú stránku WordPress skôr, ako oni. Zatvoríte otvorený S3 bucket skôr, ako dôjde k úniku dát. Zabezpečíte vývojové API skôr, ako sa stane zadnými vrátkami do vašej produkčnej databázy.

Ak vás už nebaví premýšľať, čo sa skutočne spúšťa vo vašich cloudových prostrediach, a chcete prestať s hádankami, je čas automatizovať vaše objavovanie.

Pripravení zistiť, čo sa skutočne skrýva vo vašom tieni? Preskúmajte, ako vám Penetrify môže pomôcť zmapovať vašu útočnú plochu, objaviť skryté riziká a posunúť sa k nepretržitému bezpečnostnému stavu. Nečakajte, kým vám narušenie povie, ako vyzerá vaša útočná plocha—nájdite ju najprv sami.

Späť na blog