Che cos'è Attack Surface Management (ASM)?
Nominato leader in The Forrester Wave: Soluzioni di gestione della superficie di attacco, Q3 2024
Definizione di gestione della superficie di attacco
Attack Surface Management (ASM) è un approccio e una tecnologia che rafforza la sicurezza identificando la superficie di attacco (area di attacco) di un'organizzazione dal punto di vista di un aggressore e quindi lavorando per ridurre il rischio di attacchi informatici. Incorporando la gestione del rischio della superficie di attacco (ASRM), che identifica, valuta e mitiga continuamente i rischi della superficie di attacco, è possibile ridurre il verificarsi di incidenti che minacciano la continuità aziendale di un'organizzazione.
Al fine di comprendere la gestione della superficie di attacco (ASM), è prima necessario sapere cosa si intende per "superficie di attacco".
Come definito dal National Institute of Standards and Technology (NIST) degli Stati Uniti, la superficie di attacco si riferisce a risorse digitali, servizi e ambienti che potrebbero essere soggetti ad attacchi informatici dal punto di vista dell'aggressore. Nello specifico, ciò include dispositivi di rete come terminali client, terminali mobili, dispositivi IoT, server e dispositivi VPN, nonché software, servizi cloud e servizi che costituiscono la catena di fornitura.
La superficie di attacco è talvolta classificata nella Superficie di attacco esterna, che si riferisce alle risorse digitali pubblicamente disponibili, e nella Superficie di attacco interna, che si riferisce alle risorse digitali esistenti all'interno della rete dell'organizzazione.
In passato, le misure convenzionali tendevano a concentrarsi solo sulla superficie di attacco che era pubblicamente disponibile dal punto di vista dei percorsi di intrusione/difesa al punto di ingresso. Tuttavia, come vedremo di seguito, a causa dei cambiamenti nell'ambiente aziendale e della crescente sofisticazione degli attacchi informatici, è ora comune adottare misure basate sulla premessa che gli aggressori otterranno l'accesso a un'organizzazione. Per questo motivo, è necessario trattare la superficie di attacco come se includesse non solo le risorse digitali pubblicamente disponibili, ma anche tutte le risorse digitali interne che potrebbero essere utilizzate in modo improprio dagli aggressori.
Perché l'ASM è importante?
Ci sono due motivi principali per cui è necessaria la gestione della superficie di attacco:
L'ambiente IT delle organizzazioni deve essere protetto
La digitalizzazione di tutti i tipi di lavoro sta progredendo rapidamente negli ultimi anni a causa dei cambiamenti nell'ambiente aziendale causati dalla promozione della trasformazione digitale e dei cambiamenti nel modo in cui lavoriamo, come il lavoro da remoto. Di conseguenza, l'ambiente IT sta diventando più complesso che mai a causa dell'introduzione di nuove tecnologie come l'uso di dispositivi VPN e servizi cloud e l'uso di dispositivi IoT.
D'altro canto, molte organizzazioni non sono in grado di tenere il passo con i rapidi cambiamenti e la crescente complessità dei propri ambienti IT e con i rischi che pongono, e le misure di sicurezza vengono messe in discussione. Di conseguenza, dal punto di vista dei cyber criminali, il numero di bersagli per gli attacchi è in aumento
La sofisticatezza dei metodi di attacco informatico
I metodi utilizzati negli attacchi informatici e in altri crimini stanno diventando sempre più sofisticati per aumentare il tasso di successo degli attacchi. In passato, il tipo principale di attacco informatico era il tipo "diffusione e raccolta", in cui i programmi dannosi venivano inviati a un gran numero di destinatari non specificati tramite email o altri mezzi. Tuttavia, i moderni attacchi informatici stanno diventando sempre più sofisticati, con un numero crescente di "attacchi mirati" che sfruttano le vulnerabilità di VPN e RDP, nonché le informazioni di autenticazione rubate, per infiltrarsi nella rete dell'organizzazione bersaglio e quindi svolgere attività interne come l'escalation dei privilegi, il movimento laterale e il furto di informazioni.
Di conseguenza, le organizzazioni devono considerare non solo le risorse digitali disponibili pubblicamente, ma anche le risorse digitali all'interno dell'organizzazione stessa e implementare le misure di sicurezza di conseguenza.
A causa degli ambienti IT sempre più complessi dal lato della difesa e dei metodi di attacco sempre più sofisticati dal lato dell'attacco, le organizzazioni devono monitorare costantemente lo stato della loro superficie di attacco per garantire che gli attacchi informatici non portino a interruzioni dell'attività e adottare misure per ridurre la possibilità di attacchi e l'impatto sull'attività in caso di attacco. In altre parole, piuttosto che aspettare che si verifichi un incidente, le organizzazioni devono adottare misure per controllare il rischio in anticipo.
D'altro canto, molte organizzazioni trovano difficile comprendere la superficie di attacco e gestire continuamente tale rischio, principalmente a causa dei tre problemi seguenti, quindi c'è la necessità della tecnologia per supportare la gestione della superficie di attacco.
- È difficile quantificare il rischio della superficie di attacco
- Non ci sono risorse sufficienti per gestirlo su base continuativa
- La visibilità della superficie di attacco e del rischio è limitata
Caratteristiche principali di ASM
La gestione della superficie di attacco è un'iniziativa volta a rafforzare la sicurezza visualizzando le risorse digitali che devono essere protette all'interno di un'organizzazione e quindi monitorandole su base continuativa per comprendere come la superficie di attacco sta cambiando nel tempo. D'altra parte, non è realistico gestire manualmente la superficie di attacco di un'organizzazione, che cambia ogni giorno, perché richiede tempo e fatica. Pertanto, per ottenere una gestione sostenibile della superficie di attacco, è importante utilizzare una tecnologia che supporti l'intero processo attraverso l'automazione.
La tecnologia che supporta la gestione della superficie di attacco fornisce le seguenti funzioni.
- Visualizzazione della superficie di attacco
- Monitorando le risorse digitali che potrebbero essere oggetto di attacco all'interno di un'organizzazione, vengono continuamente raccolte e visualizzate le ultime informazioni sul numero e sui tipi di risorse (dispositivi, account, servizi cloud, ecc.) e le informazioni correlate (versioni del sistema operativo, nomi host, ecc.).
- Comprendere i fattori che compongono la superficie di attacco
- Vengono rilevati e visualizzati i fattori che potrebbero rendere gli asset digitali oggetto di attacco, come le vulnerabilità presenti negli asset digitali, le impostazioni di sicurezza inadeguate e l'eventuale esposizione al mondo esterno.
Inoltre, la gestione della superficie di attacco per le risorse digitali pubblicamente accessibili è talvolta indicata come gestione della superficie di attacco esterna (EASM) e alcune organizzazioni considerano la gestione della superficie di attacco come EASM.
Funzioni principali di ASM
Oltre alle funzioni di gestione della superficie di attacco sopra menzionate, la gestione del rischio della superficie di attacco fornisce funzioni per "identificare", "valutare" e "mitigare" i rischi.
- L'identificazione dei rischi sulla superficie di attacco, oltre al numero e ai tipi di risorse digitali che potrebbero essere attaccate (dispositivi, account, servizi cloud, ecc.) e alle informazioni correlate (versione del sistema operativo, nome host, ecc.), raccoglie informazioni che potrebbero rappresentare un fattore di rischio, come perdite di informazioni sull'account e di autenticazione, vulnerabilità, comportamento sospetto e tracce di attacchi.
- Valutando il rischio sulla superficie di attacco in base alle informazioni raccolte che sono un fattore di rischio su ciascuna superficie di attacco, la gravità del rischio viene valutata calcolando quantitativamente un punteggio di rischio in base alla "probabilità" che si verifichi un attacco e all'"impatto" che si verifichi un attacco. Ad esempio, quando si valuta il rischio di un dispositivo, se vi è una vulnerabilità con un punteggio CVSS (Common Vulnerability Scoring System) elevato e le impostazioni di sicurezza come il monitoraggio comportamentale e il machine learning non sono abilitate, il rischio viene calcolato come elevato.
- Riducendo il rischio sulla superficie di attacco per ridurre il livello di rischio sulla superficie di attacco a un livello accettabile per l'organizzazione, vengono implementate misure di mitigazione del rischio come l'isolamento degli endpoint e il blocco delle destinazioni di comunicazione sospette.
Il National Institute of Standards and Technology (NIST) ha pubblicato la NIST SP800-30 "Guide for Conducting Risk Assessments", che riassume sistematicamente i metodi per la valutazione del rischio.
Quando si implementa la gestione del rischio della superficie di attacco in un'organizzazione, è importante essere in grado di raccogliere in modo completo le informazioni di riferimento che possono essere utilizzate come fattore nel rischio della superficie di attacco, per valutare quantitativamente il rischio utilizzando metodi consolidati e per adottare una tecnologia in grado di realizzare continuamente un ciclo di implementazione delle misure per mitigare il rischio.
Tipi di gestione della superficie di attacco
Attack Surface Management (ASM) è classificato in tipi distinti che affrontano diversi aspetti dell'ambiente digitale di un'organizzazione. Questi includono ASM esterno, ASM interno, Cyber Asset ASM e ASM open source. Ogni tipo svolge un ruolo cruciale nel monitoraggio e nella mitigazione dei rischi, fornendo alle organizzazioni un approccio completo alla protezione delle proprie risorse digitali.
Gestione della superficie di attacco esterna
L'ASM esterno si concentra sulle risorse aziendali interne esposte a Internet pubblico, come applicazioni web, risorse basate su cloud, indirizzi IP e nomi di dominio che potrebbero essere sfruttati dagli aggressori. Questi servizi rivolti a Internet pubblico sono spesso presi di mira dagli aggressori che cercano di sfruttare vulnerabilità o configurazioni errate. L'ASM esterno identifica e monitora continuamente queste risorse per rilevare i punti deboli che potrebbero fungere da punti di ingresso per un aggressore. Mantenendo la visibilità delle risorse accessibili pubblicamente, l'ASM esterno riduce l'esposizione di un'organizzazione a potenziali attacchi.
Gestione della superficie di attacco interna
L'ASM interno affronta i rischi all'interno della rete privata di un'organizzazione, compresi i dispositivi, le applicazioni e i sistemi che non sono pubblicamente accessibili ma che potrebbero essere sfruttati se gli aggressori ottengono l'accesso. È particolarmente rilevante per combattere le minacce persistenti avanzate (APT) e le minacce interne, che spesso comportano movimenti laterali e l'escalation dei privilegi all'interno della rete. I sistemi legacy o i server interni scarsamente protetti possono fungere da vulnerabilità che gli aggressori sfruttano una volta all'interno della rete. L'ASM interno consente alle organizzazioni di rilevare e mitigare questi rischi applicando i controlli di accesso, monitorando gli endpoint e implementando la segmentazione della rete, contribuendo a ridurre il rischio di minacce interne.
Gestione della superficie di attacco agli asset informatici
Cyber Asset ASM si concentra sulla gestione e la protezione delle singole risorse all'interno di un'organizzazione, inclusi endpoint, account utente, istanze cloud e dispositivi mobili. Ciò è particolarmente critico negli ambienti di lavoro ibridi odierni, dove le risorse sono distribuite in infrastrutture locali e basate sul cloud. Le aziende che operano in ambienti multi-cloud spesso dispongono di risorse diverse, come container, macchine virtuali e API. Cyber Asset ASM fornisce una visibilità dettagliata di queste risorse monitorando continuamente le configurazioni delle risorse e valutando i loro profili di rischio, consentendo alle organizzazioni di mantenere un controllo rigoroso sui loro ecosistemi in espansione e mitigare in modo proattivo le potenziali vulnerabilità.
Gestione della superficie di attacco open source
Open Source ASM si concentra sulla gestione dei rischi associati alle tecnologie open source e alle informazioni accessibili pubblicamente. Sebbene il software open source sia ampiamente utilizzato, introduce vulnerabilità grazie alla sua trasparenza e alla dipendenza dai contributi della comunità. Inoltre, gli aggressori spesso sfruttano dati esposti come credenziali trapelate, chiavi API o file di configurazione sensibili presenti in archivi aperti come Github. Ad esempio, un'organizzazione potrebbe inavvertitamente pubblicare informazioni sensibili in un repository di codice pubblico, che gli strumenti Open Source ASM possono rilevare e segnalare rapidamente. Identificando e affrontando questi rischi, le organizzazioni possono proteggere i loro componenti open source e prevenire lo sfruttamento derivante da dati accessibili pubblicamente.
Categorie di superfici di attacco
La comprensione delle categorie delle superfici di attacco è essenziale per una gestione efficace delle superfici di attacco (ASM). Questi punti di ingresso possono essere classificati in tre tipi:
La superficie di attacco fisico
La superficie di attacco fisica si riferisce ai componenti tangibili dell'infrastruttura IT di un'organizzazione che possono essere sfruttati dagli aggressori. Questi includono hardware, dispositivi o posizioni fisiche che possono fornire accesso non autorizzato a dati o sistemi sensibili.
- Hardware scartato: Dispositivi come dischi rigidi, chiavette USB o stampanti che possono ancora contenere dati sensibili se non vengono smaltiti correttamente.
- Dispositivi endpoint: Computer desktop, laptop, smartphone e altri dispositivi portatili che potrebbero essere rubati o manomessi.
- Infrastruttura di rete: Componenti come router, switch, cavi di rete e datacenter, accessibili o manomessi fisicamente.
- Porte o periferiche non protette: Porte USB o connessioni di archiviazione esterne che potrebbero essere utilizzate per introdurre dispositivi o software dannosi.
- Violazioni fisiche: Personale non autorizzato che ottiene l'accesso ad aree protette o informazioni sensibili, spesso a causa di meccanismi di controllo degli accessi scadenti.
La superficie di attacco digitale
La superficie di attacco digitale comprende tutte le risorse digitali che potrebbero essere prese di mira dai cyber criminali, compresi i sistemi rivolti all'esterno, le reti interne e il software o i servizi cloud in uso.
- Applicazioni Web: Vulnerabilità in siti web o applicazioni accessibili pubblicamente che possono essere sfruttate per l'accesso non autorizzato.
- Servizi cloud: Archiviazione cloud, API o macchine virtuali non configurate correttamente che sono esposte a Internet.
- Dispositivi IoT: Dispositivi connessi a Internet come telecamere, sensori o dispositivi intelligenti che spesso non dispongono di controlli di sicurezza rigorosi.
- Software obsoleto: Applicazioni o sistemi operativi con vulnerabilità senza patch che gli aggressori possono sfruttare.
- Credenziali utente: Password deboli o rubate che consentono agli aggressori di infiltrarsi nei sistemi o nelle reti interne.
La superficie di attacco alla Social Engineering -
La superficie di attacco dell'ingegneria sociale si concentra sull'elemento umano, sfruttando la fiducia dei dipendenti o degli utenti e la suscettibilità alla manipolazione. Gli aggressori spesso utilizzano tattiche psicologiche per indurre le persone a rivelare informazioni sensibili o a compiere azioni che compromettono la sicurezza.
- Email di phishing: Messaggi fraudolenti progettati per indurre i destinatari a cliccare su link dannosi o a fornire credenziali.
- Pretesto: Scenari in cui gli aggressori si fingono persone o organizzazioni fidate per ottenere informazioni o accedere.
- Erogazione: Offrire qualcosa di allettante, come un'offerta di lavoro falsa o un premio promozionale, per attirare le vittime in una trappola.
- Impersonificazione: Fingendo di essere un collega, un fornitore o un dirigente fidato per sfruttare la fiducia dell'obiettivo.
- Tailgating: Ottenere l'accesso fisico alle aree protette seguendo il personale autorizzato senza credenziali adeguate.
Relazione tra ASM e XDR
La gestione della superficie di attacco riduce la possibilità di attacchi informatici e intrusioni in tempi normali, limitando così il verificarsi di incidenti gravi che potrebbero influire sulla continuità aziendale. D'altro canto, a causa della recente sofisticazione degli attacchi informatici, sono consigliate contromisure basate sull'ipotesi di intrusione e tecnologie come XDR (Extended Detection and Response) supportano il rilevamento e la risposta alle minacce. La gestione del rischio della superficie di attacco è una contromisura proattiva prima che si verifichi un incidente, mentre XDR è posizionata come una contromisura reattiva dopo che si verifica un incidente, ma le due tecnologie dovrebbero lavorare a stretto contatto.
Ad esempio, monitorando i rischi attraverso la gestione del rischio della superficie di attacco in tempi normali, è possibile ridurre il numero di incidenti, con conseguente riduzione del carico di risposta reattiva agli incidenti tramite XDR. Inoltre, le informazioni sulle tracce degli attacchi rilevati da XDR possono essere condivise con la Gestione del rischio della superficie di attacco come obiettivo per la valutazione del rischio in momenti normali, contribuendo a un calcolo più accurato del punteggio di rischio.
In questo modo, sebbene la gestione del rischio della superficie di attacco e XDR siano tecnologie diverse, si completano a vicenda condividendo le informazioni, il che ha un effetto sinergico nella riduzione del numero di incidenti e dell'onere della risposta. Pertanto, è importante disporre di una piattaforma che consenta alle due tecnologie di integrarsi a vicenda.
Soluzione ASM di Trend Micro
Fai clic qui per superare gli avversari con visibilità completa, prioritizzazione intelligente e mitigazione automatizzata.