Traduzido do 日本語 • Ver original 
Com a expansão do uso da nuvem, a proliferação do SaaS e o estabelecimento do trabalho remoto, os ativos de TI de uma organização se expandiram significativamente fora da rede interna. Como resultado, é fácil cair em um estado em que "não sei quanto da gestão da minha empresa está" ou "Existem servidores e serviços que eu não conheço."
Neste artigo, vamos explicar o que é o EASM, por que ele é necessário agora e como deve ser implementado e operado como uma organização sob uma perspectiva prática.
Contexto: Expansão da superfície externa de ataque e dificuldade de visibilidade
As medidas tradicionais de segurança têm se concentrado em defesas perimetrais baseadas em redes internas. Hoje, no entanto, a superfície de ataque está se expandindo rapidamente, incluindo máquinas virtuais, contêineres, APIs, SaaS e até sistemas gerenciados por contratados e subsidiárias na nuvem.
Em particular, estão os seguintes "assets de undergrunt".
- Recursos em nuvem que foram construídos no passado e deixados sem atendimento
- Servidores públicos permanecendo ao alternar entre os ambientes de produção e verificação
- SaaS e APIs usadas pela equipe de desenvolvimento
- Subdomínios não utilizados que permanecem registrados no DNS
Os atacantes escaneiam automaticamente esses pontos do lado da Internet para encontrar pontos vulneráveis e infiltrar. Em outras palavras, ativos que os defensores "não conhecem" são os "pontos de entrada mais fáciles" para os atacantes.
Nessa situação, "saber primeiro o que é visível para o exterior" é o primeiro passo nas medidas de segurança. O EASM desempenha um papel importante aqui.
O que é o EASM? Seu papel e características
EASM (Gestão Externa de Superfícies de Ataque) é uma iniciativa para descobrir e visualizar continuamente os ativos de TI de uma organização visíveis na Internet e gerenciar riscos.
A característica do EASM é que ele não depende de livros-razão internos ou informações de gerenciamento de configuração, mas identifica ativos da mesma perspectiva do atacante (perspectiva externa). Especificamente, ele mira as seguintes informações.
- Endereços IP públicos, domínios e subdomínios
- Aplicações web, endpoints de API
- Certificado TLS, informações de configuração na nuvem
- Vulnerabilidades e configurações incorretas conhecidas
Isso permite identificar "ativos que não eram conhecidos internamente, mas eram visíveis para o exterior." É importante notar que o EASM não é apenas um inventário, mas uma medida operacional de segurança que detecta mudanças continuamente.
Técnicas de Ataque e Riscos Vistos no EASM
O EASM oferece visibilidade sobre os seguintes riscos de ataque:
- Administrador não utilizado, mas público,
- Vulnerabilidades em middleware e frameworks desatualizados
- APIs acessíveis e sem autenticação
- Controle de acesso à nuvem configurado incorretamente
Eles são frequentemente explorados como pontos de entrada iniciais para ransomware, roubo de informações e ataques de plataforma. Na verdade, muitas violações são causadas por "falhas básicas de configuração" em vez de "ataques avançados de zero-day".
O maior valor do EASM é que ele pode detectar esses riscos antes que possam ser invadidos.
Contramedidas: Passos para implementar e operar o EASM
Para utilizar o EASM de forma eficaz, a implementação e operação faseadas são cruciais.
- Definir a Cobertura
Primeiro, esclareça até onde você quer visualizar, incluindo seu próprio domínio, ambiente de nuvem, afiliados e subcontratados. - Detecção e classificação automática de ativos
Ele utiliza ferramentas EASM para detectar automaticamente ativos visíveis de fora. Categorize-os por importância e use para facilitar a priorização das respostas. - Avaliação de Riscos e Resposta Corretiva
Responderemos a vulnerabilidades descobertas e deficiências de configuração, como correção, suspensão de publicações e fortalecimento do controle de acesso. - Monitoramento Contínuo
Detecte novas emergências de ativos e mudanças de configuração e mantenha-se atualizado. Essa é a grande diferença em relação a um inventário único. - Integração aos processos operacionais
Incorpore os resultados do EASM em seus fluxos de desenvolvimento e operações, e faça da segurança parte das suas operações diárias.
O que deveria ser: Operação de segurança baseada na perspectiva do atacante
O ideal que o EASM busca é "sempre saber como sua organização é vista de fora."
Isso também é altamente compatível com o conceito de Zero Trust, e é importante projetar e operar sob a premissa de que "o que está fora é sempre alvo."
O EASM não é uma solução isolada.
Combinado com inteligência de ameaças cibernéticas e operações SOC, ele possibilita defesas mais eficazes.
Artigos relacionados:
- Guia de Proteção contra Ransomware: Uma explicação detalhada desde métodos de ataque até defesa
- Gerenciamento de Identidade na Era do Zero Trust: Um Guia Prático para Controle de Acesso Seguro
- Guia de Implementação de Inteligência de Ameaças Cibernéticas (CTI): Prevenir Proativamente o Risco Organizacional
Conclusão
O EASM é uma iniciativa importante que apoia a transição da segurança de "responder a ataques" para a segurança de "esmagar antes do ataque".
No número cada vez maior de ativos de TI de hoje, a incapacidade de entender a superfície externa de ataque é um grande risco por si só.
Primeiro de tudo, saiba "o que é visível lá fora".
Priorizar e melhorar gradualmente a partir daí é um atalho para uma melhoria realista e eficaz da segurança.
O EASM é uma abordagem muito eficaz como primeiro passo.