Superfície de ataque

Superfície de ataque é o conjunto de todos os pontos de um sistema que podem ser alcançados por alguém sem autorização: cada domínio, aplicação, API, porta de serviço, certificado e configuração acessível a partir da internet. A superfície externa reúne o que está exposto publicamente. A superfície interna reúne o que só é alcançável de dentro da rede. Esta definição trata da externa, que é a primeira que um atacante encontra.

O tamanho da superfície não depende do tamanho da empresa. Depende da quantidade de sistemas publicados e da forma como cada um foi configurado. Um único domínio pode expor dezenas de subdomínios, cada um com um servidor, uma pilha de software e um conjunto de cabeçalhos próprios. Ambientes de homologação, painéis administrativos e serviços de terceiros ligados ao domínio fazem parte da superfície mesmo quando não são tratados como produção.

A superfície muda sem que uma decisão de segurança seja tomada. Um deploy publica uma rota nova, um certificado vence, uma biblioteca passa a ter uma vulnerabilidade divulgada, um registro DNS continua apontando para um serviço que foi desligado. Cada um desses eventos altera o que está exposto, e a maioria deles não gera nenhum aviso.

Mapear a superfície é a primeira etapa de qualquer programa de gestão de exposição. O mapeamento parte do domínio principal, enumera subdomínios e registros DNS, identifica os serviços que respondem em cada host e registra a versão do software e a configuração de cada um. O resultado é um inventário do que está acessível, que serve de base para as etapas de priorização e correção.

Reduzir a superfície significa desativar o que não precisa estar exposto e corrigir a configuração do que precisa. Serviços sem uso, subdomínios sem dono e versões antigas de software são as reduções mais frequentes. As medidas acompanhadas ao longo do tempo são o número de ativos expostos e o número de exposições por ativo. O cidguard mantém esse inventário atualizado a cada ciclo e registra a variação entre um ciclo e o seguinte.