Predstavte si, že ste šesť mesiacov stavali high-tech trezor. Máte najhrubšie oceľové dvere, biometrický skener a SBS-kára, ktorý neberie úplatky. Cítite sa bezpečne. Ale zatiaľ čo ste sa sústredili na dvere, nevšimli ste si, že dodávateľ nechal vzadu malú vetraciu šachtu nezakrytú, alebo že bočné okno má západku, ktorá sa v skutočnosti nezamyká.
V digitálnom svete sa presne to stane, keď sa spoločnosti zameriavajú na „bezpečnosť“ namiesto na „riadenie priestoru útoku“ (attack surface management). Väčšina firiem má všeobecnú predstavu o svojom perimetri. Poznajú svoju hlavnú webovú stránku, svoje primárne API a možno aj svoje cloudové úložné priestory. Ale ako spoločnosť rastie, perimeter sa rozširuje. Stážista z marketingu spustí WordPress stránku pre dočasnú kampaň a zabudne na ňu. Vývojár otvorí port pre rýchly test a nikdy ho nezatvorí. Integrácia tretej strany ponechá starší endpoint odhalený.
Toto je váš priestor útoku (attack surface): celkový súhrn všetkých rôznych bodov, kde sa neoprávnený používateľ môže pokúsiť vstúpiť do vášho prostredia alebo z neho extrahovať dáta. Problém je, že väčšina z nás sa snaží zabezpečiť mapu, ktorá je zastaraná v momente, keď je vytlačená. Ak sa spoliehate na Penetration Test, ktorý sa uskutočnil minulý október, nezabezpečujete svoje súčasné prostredie; zabezpečujete ducha svojej minulej infraštruktúry.
Ak chcete skutočne udržať zlých aktérov vonku, potrebujete spôsob, ako bez námahy zmapovať a zabezpečiť svoj priestor útoku (attack surface) v reálnom čase. Nemôžete len zamknúť vchodové dvere; musíte nájsť každú jednu vetraciu šachtu a uvoľnené okno skôr, ako to urobí niekto iný.
Čo presne je priestor útoku (Attack Surface)?
Skôr ako sa dostaneme k tomu, ako ho zabezpečiť, musíme si ujasniť, o čom vlastne hovoríme. Mnohí ľudia používajú výrazy „priestor útoku“ (attack surface) a „zraniteľnosti“ zameniteľne, ale nie je to to isté. Zraniteľnosť je diera v stene. Priestor útoku (attack surface) je samotná stena – a každá ďalšia stena, strop a podlaha vo vašej budove.
Váš priestor útoku (attack surface) sa vo všeobecnosti delí do troch hlavných kategórií. Pochopenie týchto kategórií vám pomôže uvedomiť si, prečo jednoduchý skener zvyčajne nestačí.
1. Externý priestor útoku (External Attack Surface)
Toto je ten najzrejmejší. Je to všetko, čo je priamo prístupné z internetu. Ak ho hacker v kaviarni v inej krajine dokáže pingnúť, je to súčasť vášho externého priestoru útoku (external attack surface). To zahŕňa:
- Verejné IP adresy a otvorené porty.
- Webové aplikácie a API.
- DNS záznamy a subdomény.
- Cloudové úložné priestory (ako AWS S3), ktoré môžu byť omylom verejné.
- VPN brány a portály vzdialeného prístupu.
2. Interný priestor útoku (Internal Attack Surface)
Povedzme, že sa hackerovi podarí prejsť cez vchodové dvere – napríklad prostredníctvom phishingového e-mailu. Teraz sú vo vnútri. Interný priestor útoku (internal attack surface) je to, čo vidia, keď už prelomili perimeter. Tu sa často stávajú skutočné škody, pretože mnohé spoločnosti zaobchádzajú so svojimi internými sieťami ako s „dôveryhodnými zónami“ a nechávajú ich dokorán otvorené. To zahŕňa:
- Interné databázy a zdieľané súbory.
- Pracovné stanice zamestnancov.
- Interné konzoly správy.
- Neopravené staršie servery, ktoré „nie sú vystavené internetu“.
3. Ľudský priestor útoku (Human Attack Surface) (Sociálne inžinierstvo)
Môžete mať najlepší firewall na svete, ale ak váš HR manažér klikne na odkaz v falošnom e-maile s „Faktúrou“, na firewalle nezáleží. Ľudský prvok je často najjednoduchšia cesta pre útočníka. To zahŕňa:
- Phishing a smishing (SMS phishing).
- Sociálne inžinierstvo prostredníctvom LinkedIn alebo telefonátov.
- Nesprávna hygiena hesiel (používanie „Password123“ v piatich rôznych aplikáciách).
Keď hovoríme o mapovaní a zabezpečení priestoru útoku (attack surface), zameriavame sa najmä na technickú stránku – externé a interné stopy. Cieľom je urobiť „cieľ“ čo najmenším. Ak nemáte verejne prístupný server, ktorý nepoužívate, najlepší spôsob, ako ho zabezpečiť, je vymazať ho.
Nebezpečenstvo bodovej bezpečnosti
Dlhé roky bol zlatým štandardom pre bezpečnosť „Ročný Penetration Test“. Spoločnosť si najala butikovú bezpečnostnú firmu, konzultanti strávili dva týždne prehľadávaním siete a potom odovzdali 60-stranovú správu vo formáte PDF. Spoločnosť opravila „kritické“ problémy, cítila sa skvele mesiac a potom sa vrátila k bežnému podnikaniu.
Problém? Toto je „bodová“ bezpečnosť. Je to ako ísť na zdravotnú prehliadku raz ročne a predpokladať, že nemôžete ochorieť počas zvyšných 364 dní.
V modernom prostredí DevSecOps sa kód nasadzuje denne – niekedy aj každú hodinu. Zakaždým, keď vývojár odošle novú aktualizáciu do cloudu, priestor útoku (attack surface) sa zmení. Môže sa vytvoriť nový API endpoint. Chyba konfigurácie v skripte Terraform môže otvoriť port. Do projektu sa môže pridať nová závislosť, ktorá obsahuje známu zraniteľnosť (CVE).
Ak testujete iba raz ročne, máte obrovskú medzeru vo svojej viditeľnosti. Ste prakticky slepí voči akýmkoľvek zmenám, ktoré sa dejú medzi testami. Preto sa priemysel posúva smerom k Continuous Threat Exposure Management (CTEM) a Penetration Testing as a Service (PTaaS).
Namiesto jednorazovej udalosti sa bezpečnosť stáva prúdom. Tu sa hodí platforma ako Penetrify. Namiesto čakania na konzultanta, ktorý sa objaví raz ročne, máte automatizovaný systém, ktorý neustále mapuje váš priestor útoku (attack surface) a testuje ho na slabé miesta. Premieňa bezpečnosť z procesu „stop-and-go“ na nepretržitú operáciu na pozadí.
Ako bez námahy zmapovať svoj priestor útoku (Attack Surface)
Mapovanie nie je len o vypísaní vašich IP adries. Je to o videní vašej infraštruktúry tak, ako ju vidí útočník. Hackeri nezačínajú skenovaním vašej hlavnej webovej stránky; začínajú hľadaním vecí, na ktoré ste zabudli.
Krok 1: Objavovanie aktív (Prieskum)
Prvým krokom je nájsť všetko, čo vlastníte. Znie to jednoducho, ale pre stredne veľkú firmu je to často nočná mora. Môžete zistiť, že marketingový tím kúpil doménu pred tromi rokmi pre produkt, ktorý bol zrušený, ale hosting je stále aktívny a softvér je zastaraný.
Na efektívne zmapovanie toho potrebujete zvážiť:
- WHOIS Data: Nájdenie všetkých domén registrovaných na vašu organizáciu.
- DNS Enumeration: Hľadanie subdomén (napr.
dev.example.com,test-api.example.com,staging.example.com). - IP Space Scanning: Identifikácia, ktoré rozsahy IP adries sú vám pridelené a ktoré porty sú otvorené.
- Cloud Inventory: Kontrola vašich AWS, Azure alebo GCP účtov na osirelé inštancie alebo exponované buckety.
Krok 2: Identifikácia služieb
Keď máte zoznam aktív, potrebujete vedieť, čo na nich beží. Beží na otvorenom porte 8080 staršia Java aplikácia? Je port 22 (SSH) otvorený pre celý internet?
Tento proces zahŕňa "fingerprinting" služieb na určenie verzie softvéru a operačného systému. Tu sa automatizácia stáva záchranou. Robiť to manuálne pre 500 aktív je práca na plný úväzok; robiť to s automatizovanou platformou trvá minúty.
Krok 3: Mapovanie zraniteľností
Teraz, keď viete, čo tam je, potrebujete vedieť, čo je s tým zle. To zahŕňa porovnanie objavených služieb s databázami známych zraniteľností. Ak používate starú verziu Apache, systém by to mal okamžite označiť.
Ale dobrá mapa ide nad rámec známych CVE. Hľadá "slabé konfigurácie", ako napríklad:
- Default credentials: Používa administrátorský panel stále
admin/admin? - Directory listing enabled: Môže ktokoľvek prehliadať štruktúru súborov vášho servera?
- Missing security headers: Chýbajú stránke hlavičky X-Frame-Options alebo Content-Security-Policy?
Krok 4: Analýza a stanovenie priorít
Tu zlyháva väčšina spoločností. Spustia sken, dostanú zoznam 2 000 "zraniteľností" a potom spanikária. Nevedia, čo opraviť ako prvé.
Kľúčom je rozlišovať medzi zraniteľnosťou a rizikom. "Kritická" zraniteľnosť na serveri, ktorý je izolovaný od internetu a neobsahuje žiadne dáta, predstavuje nízke riziko. "Stredná" zraniteľnosť na vašej primárnej platobnej bráne pre zákazníkov predstavuje vysoké riziko.
Efektívne mapovanie vyžaduje prístup založený na riziku. Prioritizujete na základe:
- Reachability: Môže sa útočník skutočne dostať k tomuto aktívu?
- Impact: Ak je toto aktívum kompromitované, čo sa stane? (Únik dát? Výpadok stránky? Úplné prevzatie?)
- Ease of Exploitation: Existuje verejne dostupný exploit kit, alebo si to vyžaduje doktorát z kryptografie?
Zabezpečenie povrchu: Od objavenia po nápravu
Zmapovanie priestoru útoku je len polovica bitky. Skutočná práca spočíva v jeho zabezpečení. Ak len nájdete diery a neopravíte ich, v skutočnosti ste len vytvorili "zoznam úloh" pre každého hackera, ktorý náhodou spustí rovnaké skeny ako vy.
Odstránenie ľahko dostupných cieľov
Prvým krokom pri zabezpečení vášho povrchu je zníženie hluku. Útočníci milujú "ľahko dostupné ciele" - ľahké výhry.
- Shut down unused assets: Ak nepoužívate ten staging server z roku 2022, vymažte ho.
- Close unnecessary ports: Ak nepotrebujete SSH otvorené pre celý svet, obmedzte ho na konkrétnu VPN IP adresu.
- Update everything: Nastavte si automatické záplatovanie pre váš OS a závislosti.
Riešenie OWASP Top 10
Pre väčšinu firiem je priestor útoku primárne ich webové aplikácie a API. To znamená, že by ste sa mali zamerať na OWASP Top 10. Toto sú najbežnejšie a najvýznamnejšie webové zraniteľnosti.
- Broken Access Control: Zabezpečenie, aby používatelia nemali prístup k údajom, ku ktorým nemajú mať prístup (napr. zmena URL z
/user/123na/user/124a zobrazenie profilu niekoho iného). - Cryptographic Failures: Používanie zastaraných verzií TLS alebo ukladanie hesiel v čitateľnom texte.
- Injection: Zabránenie SQL Injection alebo Cross-Site Scripting (XSS) sanitizáciou všetkých vstupov používateľa.
- Insecure Design: Vytvorenie funkcie, ktorá je zásadne chybná, bez ohľadu na to, ako "dokonale" je kód napísaný.
Implementácia DevSecOps Pipeline
Aby ste zabránili nekontrolovanému rastu priestoru útoku, musíte presunúť bezpečnosť "doľava". To znamená integrovať bezpečnostné kontroly priamo do procesu vývoja.
V tradičnom nastavení:
Code $\rightarrow$ Build $\rightarrow$ Deploy $\rightarrow$ Annual Pen Test $\rightarrow$ Panic/Fix
V nastavení DevSecOps pomocou nástroja ako Penetrify:
Code $\rightarrow$ Security Scan $\rightarrow$ Build $\rightarrow$ Automated Testing $\rightarrow$ Deploy $\rightarrow$ Continuous Monitoring
Integráciou automatizovaného Penetration Testing do CI/CD pipeline získavajú vývojári spätnú väzbu v reálnom čase. Ak zavedú zraniteľnosť v novom API endpoint, zistia to predtým, ako sa dostane do produkcie. To znižuje "bezpečnostné trenie", kde vývojári vnímajú bezpečnostný tím ako "oddelenie nie", ktoré všetko spomaľuje.
Podrobný návod na váš prvý audit priestoru útoku
Ak ste nikdy nerobili formálny audit priestoru útoku, jeho rozsah môže byť ohromujúci. Tu je praktický, krok za krokom pracovný postup, ktorý môžete sledovať, aby ste dostali veci pod kontrolu.
Fáza 1: Inventár (Fáza "Čo máme?")
Neverte svojej dokumentácii; dokumentácia takmer vždy klame.
- Overte svojho poskytovateľa DNS: Exportujte každý záznam. Hľadajte "dev," "test," "api," "vpn," a "mail."
- Skenujte rozsahy vašich IP adries: Použite nástroj na zistenie, ktoré porty skutočne počúvajú.
- Auditujte svoje cloudové konzoly: Prejdite do AWS/Azure/GCP a pozrite sa na každú spustenú inštanciu a úložný bucket.
- Skontrolujte integrácie tretích strán: Vypíšte každý SaaS nástroj, ktorý má prístup k vašim dátam cez API.
Fáza 2: Analýza (Fáza "Je to pokazené?")
Teraz otestujte tieto aktíva.
- Spustite automatizované skenovanie zraniteľností: Identifikujte známe CVE a zastarané verzie softvéru.
- Otestujte bežné nesprávne konfigurácie: Skontrolujte predvolené heslá, otvorené adresáre a chýbajúce hlavičky.
- Simulujte základné útoky: Pokúste sa vykonať jednoduchý SQL Injection alebo nájdite skrytý adresár pomocou fuzzera.
- Zmapujte tok dát: Identifikujte, ktoré aktíva spracovávajú citlivé dáta (PII, kreditné karty) a označte ich ako "Vysoká priorita."
Fáza 3: Náprava (Fáza "Oprav to")
Nesnažte sa opraviť všetko naraz. Použite maticu:
- Okamžitá akcia: Kritická zraniteľnosť na verejne prístupnom aktíve s citlivými dátami.
- Naplánovaná akcia: Vysoká zraniteľnosť na verejnom aktíve alebo kritická zraniteľnosť na internom aktíve.
- Backlog: Stredné/Nízke zraniteľnosti, ktoré je možné opraviť počas bežnej údržby.
Fáza 4: Údržba (Fáza "Udržujte to čisté")
Tu sa väčšina ľudí zastaví, a práve tu sa vracia nebezpečenstvo.
- Nastavte si upozornenia: Nechajte sa upozorniť, keď sa vytvorí nová subdoména alebo sa otvorí port.
- Automatizujte skenovanie: Prejdite z mesačných alebo štvrťročných skenov na týždenné alebo denné automatizované testy.
- Skontrolujte "mŕtve" aktíva: Raz za mesiac vyhľadajte aktíva, ktoré už nie sú potrebné, a zrušte ich.
Porovnanie: Manuálny Penetration Testing vs. Automatizované Cloudové Testovanie
Často počúvam majiteľov firiem, ktorí sa pýtajú: "Prečo by som mal platiť za automatizovaný nástroj, keď si môžem raz ročne najať profesionálneho hackera?" Odpoveď je, že slúžia na úplne odlišné účely.
| Funkcia | Manuálny Penetration Testing | Automatizované Cloudové Testovanie (napr. Penetrify) |
|---|---|---|
| Frekvencia | Raz alebo dvakrát ročne | Nepretržite / Na požiadanie |
| Cena | Vysoká (Za realizáciu) | Predvídateľná (Predplatné/Použitie) |
| Rozsah | Hĺbková analýza konkrétnych cieľov | Široké pokrytie celého povrchu |
| Rýchlosť | Týždne na vypracovanie správy | Výsledky v reálnom čase |
| Ideálne pre | Kontrolné zoznamy zhody & komplexné logické chyby | Každodenná bezpečnosť & rýchle nasadenie |
| Prispôsobivosť | Statická (Na základe dokumentu rozsahu) | Dynamická (Prispôsobuje sa pri pridávaní nových aktív) |
| Spätná väzba | Pomalá (Čakanie na finálne PDF) | Rýchla (Vývojár dostáva okamžité upozornenia) |
Skutočná víťazná stratégia nie je vybrať si jedno na úkor druhého; je to používanie oboch. Použite platformu ako Penetrify na zvládnutie 90 % bežných zraniteľností a posunu v oblasti útoku, a potom si najmite manuálneho testera na hĺbkovú analýzu vašej najkritickejšej obchodnej logiky – vecí, ktorým stroj nerozumie, ako napríklad ako by používateľ mohol manipulovať s nákupným košíkom, aby získal položky zadarmo.
Bežné chyby pri zabezpečovaní priestoru pre útok
Dokonca aj skúsené tímy padajú do týchto pascí. Ak ich rozpoznáte vo svojom vlastnom procese, nerobte si starosti – nie ste sami.
1. Zmiešavanie skenovania s Penetration Testing
Skenovanie zraniteľností je ako domáci inšpektor, ktorý vám povie, že zámok na dverách je starý. Penetration Test je ako niekto, kto sa skutočne pokúša vypáčiť zámok a vstúpiť do domu. Mnoho spoločností si myslí, že "robia Penetration Testing", keď v skutočnosti len spúšťajú základné skenovanie Nessus alebo OpenVAS. Potrebujete nástroje, ktoré nielen nájdu zraniteľnosť, ale simulujú, ako by ju útočník skutočne použil na pohyb vo vašej sieti.
2. Ignorovanie "Tieňového IT"
Tieňové IT je, keď zamestnanci používajú softvér alebo hardvér bez vedomia IT oddelenia. Možno projektový manažér používa Trello tabuľu na sledovanie údajov o zákazníkoch, alebo vývojár spustí "dočasný" server na svojej vlastnej kreditnej karte na testovanie funkcie. Pretože tieto nie sú vo vašom oficiálnom inventári, nie sú skenované. Preto je externé mapovanie založené na prieskume také dôležité – nájde veci, o ktorých ste ani nevedeli, že ich máte.
3. Mentalita "Použi a zabudni"
Niektoré tímy spustia rozsiahly projekt čistenia, opravia všetky diery a potom predpokladajú, že práca je hotová. Ale bezpečnosť je proces, nie projekt. V momente, keď nasadíte novú verziu svojej aplikácie, zmenili ste priestor pre útok. Ak netestujete nepretržite, len čakáte, kedy sa objaví ďalšia diera.
4. Nadmerné spoliehanie sa na firewally
Firewally sú skvelé, ale nie sú všeliekom. Bezpečnostný model "tvrdá škrupina, mäkké jadro" (silný perimeter, slabá interná bezpečnosť) je katastrofa, ktorá čaká na to, kedy sa stane. Akonáhle sa útočník dostane cez firewall – prostredníctvom kompromitovaného hesla alebo Zero Day exploit – má voľnú ruku vo vašej internej sieti. Preto musíte zmapovať a zabezpečiť aj svoj interný priestor pre útok.
Prípadová štúdia: Cena zabudnutých aktív
Pozrime sa na hypotetický, ale veľmi realistický scenár. „SaaS-Corp“ je rastúca B2B spoločnosť. Majú skvelý bezpečnostný tím a štvrťročný plán skenovania.
Pred dvoma rokmi spustili beta verziu novej funkcie. Aby to dosiahli rýchlo, nastavili samostatnú inštanciu AWS a subdoménu: beta-feature.saascorp.com. Beta verzia trvala tri mesiace, funkcia bola integrovaná do hlavnej aplikácie a na beta inštanciu sa zabudlo.
Pretože to bola „beta“ inštancia, nedostávala rovnaké prísne bezpečnostné aktualizácie ako produkčné prostredie. Počas nasledujúcich dvoch rokov sa softvér na tomto serveri vážne zastaral.
Útočník pomocou jednoduchého nástroja na enumeráciu subdomén našiel beta-feature.saascorp.com. Naskenoval ho a našiel starú verziu webového frameworku so známou zraniteľnosťou remote code execution (RCE). Za desať minút mal shell na tomto serveri.
A teraz to najlepšie: tento beta server mal rolu IAM s prístupom „Read Only“ do produkčných S3 bucketov na testovacie účely. Útočník použil tieto poverenia na stiahnutie 50 000 záznamov zákazníkov.
Hlavná webová stránka spoločnosti SaaS-Corp bola dokonale zabezpečená. Ich štvrťročné skeny boli všetky zelené. Ale boli prelomené cez „dieru“, o ktorej ani nevedeli, že existuje.
Ak by používali nástroj na nepretržité mapovanie povrchu útoku, ako je Penetrify, subdoména beta-feature by bola označená ako aktívne aktívum, zastaraný framework by bol označený ako kritické riziko a bezpečnostný tím by inštanciu vymazal mesiace alebo roky predtým, ako ju útočník našiel.
Práca v súlade s predpismi: SOC2, HIPAA a PCI-DSS
Ak pôsobíte v regulovanom odvetví, riadenie povrchu útoku nie je len „dobrý nápad“ – často je to zákonná alebo zmluvná požiadavka.
SOC2 (System and Organization Controls)
SOC2 sa silne zameriava na princípy dôvery „Security“ a „Availability“. Audítori chcú vidieť, že máte proces na identifikáciu a riadenie zraniteľností. Manuálny test raz ročne často nestačí na uspokojenie prísneho auditu SOC2. Možnosť zobraziť dashboard, ktorý dokazuje, že nepretržite monitorujete svoj povrch útoku, je obrovskou výhodou počas auditu.
HIPAA (Health Insurance Portability and Accountability Act)
Pri práci s chránenými zdravotnými informáciami (Protected Health Information - PHI) sú stávky neuveriteľne vysoké. HIPAA vyžaduje „analýzu rizík“ a „riadenie rizík“. To znamená, že musíte proaktívne identifikovať, kde sú PHI vystavené. Mapovanie vášho povrchu útoku zaisťuje, že žiadna „zabudnutá“ databáza obsahujúca záznamy pacientov nebude náhodne vystavená verejnému internetu.
PCI-DSS (Payment Card Industry Data Security Standard)
PCI-DSS je veľmi explicitný, pokiaľ ide o skenovanie zraniteľností. Vyžaduje štvrťročné externé skeny od schváleného dodávateľa skenovania (Approved Scanning Vendor - ASV). Čakanie tri mesiace na sken je však obrovské riziko. Nepretržité testovanie vám umožňuje byť „pripravený na audit“ neustále, namiesto toho, aby ste sa snažili všetko opraviť týždeň pred skenom ASV.
Akčný kontrolný zoznam na zabezpečenie vášho povrchu útoku
Ak sa cítite zahltení, začnite tu. Berte to ako svoj „bezpečnostný zoznam úloh“ na nasledujúcich 30 dní.
Týždeň 1: Viditeľnosť
- Uveďte všetky domény a subdomény, ktoré spoločnosť vlastní.
- Auditujte všetky cloudové účty (AWS, Azure, GCP) pre aktívne inštancie.
- Identifikujte všetky verejne prístupné IP adresy.
- Zdokumentujte, kto má prístup „Admin“ k týmto aktívam.
Týždeň 2: Analýza
- Spustite úplné externé skenovanie zraniteľností.
- Identifikujte všetky služby bežiace na neštandardných portoch.
- Skontrolujte „ľahko dostupné ciele“: predvolené heslá a otvorené adresáre.
- Kategorizujte aktíva podľa rizika (vysoké, stredné, nízke) na základe údajov, ktoré obsahujú.
Týždeň 3: Náprava
- Odstráňte všetky aktíva, ktoré už nie sú potrebné (vyčistenie „zabudnutej beta verzie“).
- Aktualizujte všetok zastaraný softvér a knižnice.
- Zatvorte všetky nepotrebné otvorené porty.
- Implementujte viacfaktorovú autentifikáciu (Multi-Factor Authentication - MFA) na všetkých vstupných bodoch (VPN, panely správcov).
Týždeň 4: Automatizácia
- Integrujte skenovanie zabezpečenia do svojho CI/CD pipeline.
- Nastavte nepretržité monitorovanie na zisťovanie nových aktív.
- Stanovte cieľ „priemerného času na nápravu“ (Mean Time to Remediation - MTTR) (napr. „Kritické chyby musia byť opravené do 48 hodín“).
- Zaregistrujte sa na platformu PTaaS, ako je Penetrify, aby ste automatizovali proces.
Často kladené otázky o riadení povrchu útoku
Otázka: Už máme skener zraniteľností. Prečo potrebujeme „riadenie povrchu útoku“? Odpoveď: Skener vám povie, či má konkrétny cieľ dieru. Riadenie povrchu útoku (Attack Surface Management - ASM) vám v prvom rade povie, aké sú vaše ciele. Väčšina skenerov vyžaduje, aby ste im poskytli zoznam IP adries alebo domén. ASM nájde IP adresy a domény, na ktoré ste zabudli, že vlastníte. Je to rozdiel medzi kontrolou zámkov na dverách a uvedomením si, že ste zabudli, že máte zadné dvere.
Otázka: Nie je automatizované testovanie menej efektívne ako ľudský hacker? Odpoveď: Pokiaľ ide o „kreatívne“ exploity, áno. Človek dokáže nájsť zložité logické chyby, ktoré stroj nedokáže. Ľudia sú však pomalí a drahí. Automatizácia je neuveriteľne efektívna pri hľadaní 80 – 90 % zraniteľností, ktoré vedú k väčšine narušení (zastaraný softvér, nesprávne konfigurácie, otvorené porty). Najlepšou stratégiou je používať automatizáciu na „šírku“ a ľudí na „hĺbku“.
Otázka: Ako často by som mal mapovať svoj priestor útoku? Odpoveď: V modernom cloudovom prostredí je „raz za štvrťrok“ príliš pomalé. Ak nahrávate kód denne, mali by ste denne monitorovať svoj priestor útoku. Neustály monitoring je jediný spôsob, ako zachytiť „drift“ – keď sa bezpečný systém pomaly stáva nebezpečným v dôsledku malých, nedokumentovaných zmien.
Otázka: Spôsobí automatizovaný Penetration Testing pád mojich produkčných serverov? Odpoveď: Kvalitné platformy ako Penetrify sú navrhnuté tak, aby boli „bezpečné“. Používajú nedeštruktívne techniky skenovania. Vždy by ste však mali najskôr testovať v testovacom prostredí a nakonfigurovať svoje nástroje tak, aby ste sa vyhli agresívnym testom štýlu „denial-of-service“ na produkčných systémoch.
Otázka: Aký je najčastejší „zabudnutý“ majetok, ktorý vedie k narušeniu bezpečnosti? Odpoveď: Zvyčajne je to jedna z troch vecí: starý staging/dev server, nesprávne nakonfigurovaný S3 bucket alebo starší API endpoint, ktorý mal byť vyradený z prevádzky, ale stále beží na pozadí.
Záverečné myšlienky: Prestaňte dobiehať svoju bezpečnosť
Realita modernej kybernetickej bezpečnosti je taká, že útočníci už majú nástroje. Používajú rovnaké techniky automatizácie a prieskumu, o ktorých sme tu hovorili, aby našli vaše „nechránené ventilačné šachty“. Je im jedno, či máte luxusný firewall, ak nájdu zabudnutý dev server, ktorý im umožní úplne ho obísť.
Zabezpečenie vášho priestoru útoku nie je o dosiahnutí stavu „dokonalosti“, kde neexistujú žiadne zraniteľnosti – to je nemožné. Ide o skrátenie okna príležitosti. Ide o prechod od manuálneho, reaktívneho modelu „bod v čase“ k proaktívnemu, nepretržitému systému.
Keď môžete bez námahy zmapovať svoj priestor útoku, prestanete hádať a začnete vedieť. Prestanete sa obávať toho, na čo ste mohli zabudnúť, a začnete sa sústrediť na budovanie svojho produktu.
Ak vás už nebaví „ročná audítorská panika“ a chcete spôsob, ako zabezpečiť svoju infraštruktúru v reálnom čase, je čas prejsť na model PenTesting-as-a-Service. Penetrify poskytuje most medzi základným skenovaním a drahými butikovými firmami a poskytuje vám prehľad, ktorý potrebujete, aby ste si udržali náskok pred hrozbami.
Nečakajte, kým vám narušenie bezpečnosti nepovie, že máte dieru vo svojom perimetri. Zmapujte ho, zabezpečte ho a udržujte ho tak.