Czym jest Attack Surface Management (ASM)?
Lider w raporcie Forrester Wave: Rozwiązania do zarządzania powierzchniami ataków, Q3 2024 r.
Definicja zarządzania powierzchnią ataku
Atack Surface Management (ASM) to podejście i technologia, która wzmacnia bezpieczeństwo, identyfikując powierzchnię ataku (obszar docelowy ataku) organizacji z perspektywy atakującego, a następnie pracując nad zmniejszeniem ryzyka cyberataków. Dzięki wdrożeniu rozwiązania Atack Surface Risk Management (ASRM), które w sposób ciągły identyfikuje, ocenia i łagodzi zagrożenia dla powierzchni ataku, można ograniczyć występowanie incydentów zagrażających ciągłości działalności organizacji.
Aby zrozumieć ASM (Attack Surface Management), należy najpierw wiedzieć, co oznacza termin „powierzchnia ataku”.
Zgodnie z definicją amerykańskiego Narodowego Instytutu Standardów i Technologii (National Institute of Standards and Technology, NIST) powierzchnia ataku odnosi się do zasobów cyfrowych, usług i środowisk, które z perspektywy atakującego mogą być narażone na cyberataki. Dotyczy to w szczególności urządzeń sieciowych, takich jak terminale klienckie, terminale mobilne, urządzenia IoT, serwery i urządzenia VPN, a także oprogramowania, usług chmurowych i usług tworzących łańcuch dostaw.
Powierzchnia ataku jest czasami klasyfikowana do zewnętrznej powierzchni ataku, która odnosi się do zasobów cyfrowych dostępnych publicznie, oraz do wewnętrznej powierzchni ataku, która odnosi się do zasobów cyfrowych istniejących w sieci organizacji.
W przeszłości konwencjonalne środki skupiały się jedynie na powierzchni ataku dostępnej publicznie z perspektywy dróg/obrony przed włamaniami w miejscu wejścia. Jednak, jak zobaczymy poniżej, ze względu na zmiany w środowisku biznesowym i coraz bardziej zaawansowane ataki cybernetyczne, obecnie powszechnie stosuje się środki oparte na założeniu, że atakujący uzyskają dostęp do organizacji. Z tego powodu należy traktować powierzchnię ataku nie tylko jako publicznie dostępne zasoby cyfrowe, ale także wszystkie wewnętrzne zasoby cyfrowe, które mogą zostać niewłaściwie wykorzystane przez atakujących.
Dlaczego ASM jest ważna?
Istnieją dwa główne powody, dla których konieczne jest zarządzanie powierzchnią ataku:
Środowisko IT organizacji musi być chronione
Cyfryzacja wszystkich rodzajów pracy w ostatnich latach szybko się rozwija ze względu na zmiany w środowisku biznesowym wynikające z promocji transformacji cyfrowej i zmian w sposobie pracy, takich jak praca zdalna. W rezultacie środowisko IT staje się coraz bardziej złożone ze względu na wprowadzenie nowych technologii, takich jak korzystanie z urządzeń VPN i usług chmurowych oraz korzystanie z urządzeń IoT.
Z drugiej strony wiele organizacji nie jest w stanie nadążyć za gwałtownymi zmianami i rosnącą złożonością własnych środowisk IT, a także ryzykiem, jakie stwarzają, a środki bezpieczeństwa są wprowadzane na zapleczu. W rezultacie z perspektywy cyberprzestępców rośnie liczba celów ataków
Zaawansowane metody cyberataków
Metody stosowane w cyberatakach i innych przestępstwach stają się coraz bardziej wyrafinowane, aby zwiększyć wskaźnik powodzenia ataków. W przeszłości głównym rodzajem cyberataku był typ „rozpraszacza i zbierania”, w którym złośliwe programy były wysyłane do dużej liczby nieokreślonych odbiorców pocztą elektroniczną lub innymi metodami. Jednak nowoczesne cyberataki stają się coraz bardziej zaawansowane, a coraz więcej ataków ukierunkowanych wykorzystuje luki w zabezpieczeniach sieci VPN i RDP, a także skradzione informacje uwierzytelniające, aby infiltrować sieć organizacji docelowej, a następnie wykonywać wewnętrzne działania, takie jak zwiększanie uprawnień, ruch poprzeczny i kradzież informacji.
W związku z tym organizacje muszą brać pod uwagę nie tylko zasoby cyfrowe, które są publicznie dostępne, ale także zasoby cyfrowe w obrębie samej organizacji i odpowiednio wdrożyć środki bezpieczeństwa.
Ze względu na coraz bardziej złożone środowiska IT po stronie obronnej oraz coraz bardziej zaawansowane metody ataku organizacje muszą stale monitorować stan swojej powierzchni ataku, aby zapewnić, że cyberataki nie prowadzą do przestojów w działalności i podjąć środki w celu zmniejszenia możliwości ataków i wpływu na działalność biznesową w przypadku ataku. Innymi słowy, zamiast czekać na incydent, organizacje muszą wcześniej podjąć kroki w celu kontrolowania ryzyka.
Z drugiej strony wiele organizacji ma trudności ze zrozumieniem powierzchni ataku i ciągłym zarządzaniem tym ryzykiem, głównie z powodu następujących trzech problemów, więc istnieje potrzeba zastosowania technologii wspierającej zarządzanie powierzchnią ataku.
- Trudno jest oszacować ryzyko powierzchni ataku
- Nie ma wystarczających zasobów, aby zarządzać nimi na bieżąco
- Istnieje ograniczona widoczność powierzchni ataku i ryzyka
Najważniejsze cechy ASM
Attack Surface Management to inicjatywa mająca na celu wzmocnienie bezpieczeństwa poprzez wizualizację zasobów cyfrowych, które muszą być chronione w organizacji, a następnie ich ciągłe monitorowanie w celu zrozumienia, jak zmienia się powierzchnia ataku z czasem. Z drugiej strony ręczne zarządzanie powierzchnią ataku organizacji nie jest realistyczne, co zmienia się każdego dnia, ponieważ wymaga czasu i wysiłku. Dlatego też, aby osiągnąć zrównoważone zarządzanie powierzchnią ataku, ważne jest, aby korzystać z technologii, która wspiera cały proces poprzez „automatyzację”.
Technologia umożliwiająca zarządzanie powierzchnią ataku zapewnia następujące funkcje.
- Wizualizacja powierzchni ataku
- Monitorując zasoby cyfrowe, które mogą być celem ataku w organizacji, stale gromadzone i wizualizowane są najnowsze informacje na temat liczby i typów zasobów (urządzeń, kont, usług chmurowych itp.) oraz powiązane informacje (wersje systemu operacyjnego, nazwy hostów itp.).
- Zrozumienie czynników tworzących powierzchnię ataku
- Wykrywane i wizualizowane są czynniki, które mogą stanowić cel ataku na zasoby cyfrowe, takie jak luki w zabezpieczeniach istniejących w zasobach cyfrowych, nieodpowiednie ustawienia zabezpieczeń oraz to, czy są one narażone na kontakt ze światem zewnętrznym.
Ponadto Attack Surface Management dla zasobów cyfrowych, które są publicznie dostępne, jest czasami nazywane External Attack Surface Management (EASM), a niektóre organizacje traktują Attack Surface Management jako EASM.
Główne funkcje ASM
Oprócz funkcji zarządzania powierzchnią ataku wymienionych powyżej, zarządzanie ryzykiem powierzchni ataku zapewnia funkcje identyfikacji, oceny i ograniczania ryzyka.
- Oprócz liczby i typów zasobów cyfrowych, które mogą zostać zaatakowane (urządzenia, konta, usługi chmurowe itp.) oraz powiązanych informacji (wersja systemu operacyjnego, nazwa hosta itp.) gromadzone są informacje, które mogą stanowić czynnik ryzyka, takie jak wycieki z konta i innych informacji uwierzytelniających, luki w zabezpieczeniach, podejrzane zachowania i ślady ataków.
- Ocena ryzyka na powierzchni ataku w oparciu o zebrane informacje, które są czynnikiem ryzyka na każdej powierzchni ataku, ocenia się jego powagę poprzez ilościowe obliczenie wyniku ryzyka na podstawie „prawdopodobieństwa” wystąpienia ataku i jego wpływu. Na przykład, jeśli podczas oceny ryzyka związanego z urządzeniem występuje luka w zabezpieczeniach z wysokim wynikiem w skali CVSS (Common Vulnerability Scoring System) i ustawieniami zabezpieczeń, takimi jak monitorowanie zachowań i uczenie maszynowe, ryzyko jest obliczane jako wysokie.
- Ograniczanie ryzyka na powierzchni ataku w celu obniżenia poziomu ryzyka na powierzchni ataku do akceptowalnego poziomu dla organizacji, wdrażane są środki ograniczające ryzyko, takie jak izolacja punktów końcowych i blokowanie podejrzanych miejsc docelowych komunikacji.
Narodowy Instytut Standardów i Technologii (National Institute of Standards and Technology, NIST) opublikował dokument NIST SP800-30 „Guide for Conduct Risk Assessment”, który systematycznie podsumowuje metody oceny ryzyka.
Podczas wdrażania zarządzania ryzykiem powierzchni ataku w organizacji ważne jest, aby móc w pełni zbierać informacje referencyjne, które mogą być wykorzystane jako czynnik ryzyka powierzchni ataku, ilościowo oceniać ryzyko przy użyciu ustalonych metod oraz wdrażać technologię, która może stale realizować cykl wdrażania środków ograniczających ryzyko.
Rodzaje zarządzania powierzchnią ataku
Atack Surface Management (ASM) dzieli się na różne rodzaje, które dotyczą różnych aspektów środowiska cyfrowego organizacji. Należą do nich zewnętrzne ASM, wewnętrzne ASM, Cyber Asset ASM i otwarte ASM. Każdy typ odgrywa kluczową rolę w monitorowaniu i ograniczaniu ryzyka, zapewniając organizacjom kompleksowe podejście do ochrony zasobów cyfrowych.
Zarządzanie powierzchniami ataków zewnętrznych
Zewnętrzny ASM koncentruje się na wewnętrznych zasobach biznesowych, które są narażone na dostęp do publicznego Internetu, takich jak aplikacje internetowe, zasoby chmurowe, adresy IP i nazwy domen, które mogą być wykorzystywane przez atakujących. Te ogólnodostępne usługi internetowe są często celem atakujących, którzy chcą wykorzystać luki w zabezpieczeniach lub błędy konfiguracji. Zewnętrzny ASM nieustannie identyfikuje i monitoruje te zasoby, aby wykrywać słabości, które mogą służyć jako punkty wejścia dla atakującego. Utrzymując wgląd w publicznie dostępne zasoby, zewnętrzny system ASM ogranicza narażenie organizacji na potencjalne ataki.
Zarządzanie powierzchniami ataków wewnętrznych
Wewnętrzny system ASM zajmuje się zagrożeniami w prywatnej sieci organizacji, w tym urządzeniami, aplikacjami i systemami, które nie są publicznie dostępne, ale mogą zostać wykorzystane, jeśli atakujący uzyskają dostęp. Jest szczególnie istotna w walce z zaawansowanymi zagrożeniami trwałymi (APT) i zagrożeniami z wewnątrz, które często wiążą się z ruchami bocznymi i zwiększaniem uprawnień w sieci. Starsze systemy lub słabo zabezpieczone serwery wewnętrzne mogą służyć jako luki w zabezpieczeniach wykorzystywane po wejściu do sieci. Wewnętrzny system ASM umożliwia organizacjom wykrywanie i łagodzenie tych zagrożeń poprzez egzekwowanie kontroli dostępu, monitorowanie punktów końcowych i wdrażanie segmentacji sieci w celu zmniejszenia ryzyka zagrożeń wewnętrznych.
Zarządzanie powierzchniami cyberataków
Cyber Asset ASM koncentruje się na zarządzaniu i zabezpieczaniu poszczególnych zasobów w organizacji, w tym punktów końcowych, kont użytkowników, instancji w chmurze i urządzeń mobilnych. Jest to szczególnie ważne we współczesnych hybrydowych środowiskach pracy, w których zasoby są rozproszone w infrastrukturach lokalnych i chmurowych. Organizacje działające w środowiskach wielochmurowych często mają różne zasoby, takie jak kontenery, maszyny wirtualne i interfejsy API. Cyber Asset ASM zapewnia szczegółowy wgląd w te zasoby poprzez ciągłe monitorowanie konfiguracji zasobów i ocenę ich profili ryzyka, umożliwiając organizacjom zachowanie ścisłej kontroli nad rozwijającymi się ekosystemami i proaktywne ograniczanie potencjalnych luk w zabezpieczeniach.
Zarządzanie powierzchniami ataków typu open source
ASM Open Source koncentruje się na zarządzaniu ryzykiem związanym z technologiami open source i publicznie dostępnymi informacjami. Oprogramowanie open source jest powszechnie używane, ale wprowadza luki w zabezpieczeniach ze względu na przejrzystość i poleganie na wkładzie społeczności. Ponadto atakujący często wykorzystują narażone dane, takie jak nieszczelne dane uwierzytelniające, klucze API lub wrażliwe pliki konfiguracji znajdujące się w otwartych repozytoriach, takich jak Github. Na przykład organizacja może nieumyślnie opublikować poufne informacje w repozytorium kodu publicznego, które narzędzia Open Source ASM mogą szybko wykryć i oznaczyć. Identyfikując te zagrożenia i zajmując się nimi, organizacje mogą zabezpieczyć swoje komponenty open source i zapobiegać wykorzystywaniu na podstawie publicznie dostępnych danych.
Kategorie powierzchni ataku
Zrozumienie kategorii powierzchni ataku jest niezbędne do skutecznego zarządzania powierzchniami ataku (ASM). Te punkty wejścia można podzielić na trzy typy:
Fizyczna powierzchnia ataku
Fizyczna powierzchnia ataku odnosi się do konkretnych elementów infrastruktury IT organizacji, które mogą być wykorzystane przez atakujących. Obejmują one wszelkie urządzenia, urządzenia lub lokalizacje fizyczne, które mogą zapewnić nieuprawniony dostęp do wrażliwych danych lub systemów.
- Odrzucony sprzęt: Urządzenia takie jak dyski twarde, pamięci USB lub drukarki, które mogą nadal zawierać dane wrażliwe, jeśli nie zostaną prawidłowo usunięte.
- Urządzenia punktów końcowych: Komputery stacjonarne, laptopy, smartfony i inne urządzenia przenośne, które mogą zostać skradzione lub na które można manipulować.
- Infrastruktura sieciowa: Komponenty, takie jak routery, przełączniki, kable sieciowe i centra danych, do których można uzyskać fizyczny dostęp lub które można zmanipulować.
- Niezabezpieczone porty lub urządzenia peryferyjne: Porty USB lub zewnętrzne połączenia pamięci masowej, których można użyć do wprowadzenia złośliwych urządzeń lub oprogramowania.
- Fizyczne naruszenia: Nieuprawniony personel uzyskujący dostęp do bezpiecznych obszarów lub poufnych informacji, często z powodu słabych mechanizmów kontroli dostępu.
Cyfrowa powierzchnia ataku
Cyfrowa powierzchnia ataku obejmuje wszystkie zasoby cyfrowe, które mogą być celem cyberprzestępców, w tym systemy skierowane na zewnątrz, sieci wewnętrzne oraz używane oprogramowanie lub usługi chmurowe.
- Aplikacje internetowe: Luki w publicznie dostępnych witrynach internetowych lub aplikacjach, które mogą być wykorzystane do nieuprawnionego dostępu.
- Usługi chmurowe: Błędnie skonfigurowany magazyn danych w chmurze, interfejsy API lub maszyny wirtualne narażone na działanie Internetu.
- Urządzenia IoT: Urządzenia podłączone do Internetu, takie jak kamery, czujniki lub inteligentne urządzenia, które często nie mają silnych zabezpieczeń.
- Przestarzałe oprogramowanie: Aplikacje lub systemy operacyjne z niepoprawionymi lukami w zabezpieczeniach, które mogą wykorzystać atakujący.
- Poświadczenia użytkownika: Słabe lub skradzione hasła, które umożliwiają atakującym infiltrację wewnętrznych systemów lub sieci.
Powierzchnia ataków socjotechnicznych
Powierzchnia ataku socjotechnicznego skupia się na elemencie ludzkim, wykorzystując zaufanie i podatność pracowników lub użytkowników na manipulacje. Atakujący często stosują taktyki psychologiczne, aby nakłonić osoby do ujawnienia wrażliwych informacji lub podjęcia działań, które zagrażają bezpieczeństwu.
- Phishingowe wiadomości e-mail: Fałszywe wiadomości mające na celu nakłonienie odbiorców do kliknięcia złośliwych łączy lub podania danych uwierzytelniających.
- Pretekstowanie: Scenariusze, w których atakujący stanowią zaufane osoby lub organizacje, które mogą uzyskać informacje lub dostęp do nich.
- Baiting: Oferowanie czegoś kuszącego, takiego jak fałszywa oferta pracy lub nagroda promocyjna, aby zwieść ofiary w pułapkę.
- Podszywanie się pod inną osobę: Udawanie zaufanego współpracownika, dostawcy lub dyrektora w celu wykorzystania zaufania celu.
- Tailgacja: Uzyskiwanie fizycznego dostępu do bezpiecznych obszarów poprzez śledzenie upoważnionego personelu bez odpowiednich poświadczeń.
Związek między ASM i XDR
Rozwiązanie Attack Surface Management zmniejsza ryzyko cyberataków i włamań w normalnych czasach, ograniczając w ten sposób występowanie poważnych incydentów, które mogą wpłynąć na ciągłość działalności. Z drugiej strony, ze względu na niedawne zaawansowanie cyberataków, zalecane są środki zaradcze oparte na założeniu włamania, a technologie takie jak XDR (Extended Detection and Response) wspierają wykrywanie zagrożeń i reagowanie na nie. Zarządzanie ryzykiem powierzchniowym ataku jest proaktywnym środkiem zaradczym, zanim dojdzie do incydentu, podczas gdy XDR jest reaktywnym środkiem zaradczym po wystąpieniu incydentu, ale obie technologie powinny ściśle ze sobą współpracować.
Na przykład dzięki monitorowaniu ryzyka związanego z zarządzaniem ryzykiem powierzchni ataku w normalnych czasach można zmniejszyć liczbę incydentów, co zmniejsza obciążenie reaktywnymi reakcjami na incydenty za pomocą XDR. Ponadto informacje o śladach ataków wykrytych przez XDR mogą być udostępniane firmie Attack Surface Risk Management jako cel oceny ryzyka w normalnych czasach, co przyczynia się do dokładniejszego obliczania oceny ryzyka.
W ten sposób, mimo że Attack Surface Risk Management i XDR są różnymi technologiami, uzupełniają się wzajemnie, dzieląc się informacjami, co ma synergiczny wpływ na zmniejszenie liczby incydentów i obciążenia reakcji. Dlatego ważne jest posiadanie platformy, która pozwala obu technologiom na wzajemne uzupełnianie się.
Rozwiązanie Trend Micro ASM
Kliknij tutaj, aby pokonać przeciwników dzięki pełnej widoczności, inteligentnemu ustalaniu priorytetów i automatycznemu ograniczaniu ryzyka.