Co je monitoring vnější útočné plochy (a co není)

Monitoring vnější útočné plochy (external attack surface monitoring) znamená průběžně vyhledávat a kontrolovat vše, co vaše firma vystavuje do internetu: domény, subdomény, DNS záznamy, TLS certifikáty, nastavení e-mailu, weby, otevřené porty a služby za nimi. Dívá se na firmu zvenčí, stejně jako útočník, než si vybere cíl, a tento pohled opakuje každý den, aby žádná změna nezůstala bez povšimnutí.

Stručně řečeno: aktuální soupis všeho, co máte dostupné z internetu, a k tomu nepřetržitá kontrola známých slabin a nečekaných změn. Na notebooky ani servery se nic neinstaluje a nepotřebujete k tomu žádná hesla ani přístup do sítě.

Myšlenka není nová. V rámci MITRE ATT&CK je průzkum (reconnaissance) první taktikou: protivník se v ní snaží „shromáždit informace, které může využít k plánování dalších operací“. Monitorovat vlastní vnější plochu znamená udělat tento průzkum dřív než on a podle vlastních pravidel.

Co patří do vaší vnější útočné plochy

Většina firem podceňuje, kolik toho má na internetu. Typický seznam zahrnuje:

• Domény, které vlastníte, včetně starých kampaňových domén a národních variant, spolu s registrátorem a datem expirace.
• DNS záznamy: A, AAAA, CNAME, MX, TXT a záznamy nameserverů (NS). Jediný chybný CNAME může předat subdoménu někomu jinému (viz převzetí subdomény).
• TLS certifikáty pro každý název hostitele, s vydavatelem a datem expirace.
• Ověřování e-mailu: záznamy SPF, DKIM a DMARC, které rozhodují, zda může někdo posílat poštu, jež vypadá jako vaše.
• Weby a webové aplikace, včetně stagingových, testovacích a administrátorských serverů, které měly být jen dočasné.
• Otevřené porty a služby: vzdálená plocha, SSH, databáze, poštovní servery, VPN brány.
• Věci mimo vaši kontrolu, které nesou vaše jméno: podobné domény, falešné přihlašovací stránky, uniklé přihlašovací údaje.

Jak plocha roste, aniž by si toho kdo všiml

Jen málokterá z těchto věcí vzniká záměrně jako „útočná plocha“. Hromadí se běžnou prací. Vývojář spustí staging.example.com kvůli vydání nové verze. Marketing zaregistruje example-offer.com pro kampaň. Agentura nasměruje shop.example.com na hostovanou platformu a o 2 roky později smlouva skončí. Každý krok dává smysl. Potíž je v tom, že seznam nemá nikdo na starosti.

Na světlo to vynáší Certificate Transparency. Veřejně důvěryhodné certifikáty se zapisují do záznamů CT (protokol popisuje RFC 9162), takže v nich kdokoli může vyhledat názvy pod vaší doménou. Více v článku Záznamy Certificate Transparency srozumitelně.

Jak svou plochu zkontrolovat ještě dnes

Základní přehled získáte běžnými nástroji za méně než 1 hodinu.

1. Vypište názvy hostitelů, pro které byl kdy vydán certifikát. Na crt.sh vyhledejte %.yourcompany.com a názvy exportujte.
2. Každý název přeložte v DNS a poznamenejte si, kam míří:

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Zkontrolujte ověřování e-mailu:

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Otevřete každý název v prohlížeči. Zapište si vše, co nepoznáváte, a vše, co ukazuje výchozí stránku serveru, nečekaný přihlašovací formulář nebo expirovaný certifikát.
2. U každé domény ověřte registrátora a datum expirace příkazem whois yourcompany.com.

Vše, co nemá jasného vlastníka, opravte nebo vypněte jako první.

Co monitoring vnější útočné plochy není

Je dobré mluvit přesně, protože se tento pojem často nadužívá.

• Není to penetrační test. Penetrační test se aktivně snaží proniknout dovnitř, vyžaduje písemné pověření a probíhá v předem dohodnutém období. Monitoring jen pozoruje a hlásí, nic nezneužívá.
• Není to ochrana koncových zařízení. Nástroje EDR a XDR běží uvnitř vaší sítě a sledují procesy a přihlášení. Vnější monitoring vidí to, co je vidět ještě předtím, než se cokoli dostane do vaší sítě. Oba pohledy se doplňují, jak vysvětluje článek monitoring útočné plochy vs. EDR a XDR.
• Není to jednorázový sken. Zpráva z loňského jara popisuje stav z loňského jara. Smysl má hlavně zachytit změnu: novou subdoménu, změněný nameserver, certifikát, o který nikdo nežádal.
• Není to seznam strašidelných čísel. Užitečné zjištění říká, co jsme našli, proč na tom záleží a jak přesně to opravit.

Krátký kontrolní seznam

• Mějte jeden seznam všech domén a jejich vlastníků a prodlužujte je automatickou platbou.
• Projděte DNS a najděte záznamy, které míří na služby, jež už nepoužíváte.
• Zajistěte, aby každý název hostitele dostupný z internetu měl platný certifikát a vlastníka.
• Zveřejněte SPF, DKIM a DMARC a u DMARC postupně přejděte k vynucování.
• Zavřete do internetu porty vzdálené plochy a databází.
• Odstraňte nebo zabezpečte stagingové a testovací servery (viz zapomenuté staging a testovací servery).
• Kontrolu opakujte pravidelně, nejen po incidentu.

Kde pomůže Datahorses

Datahorses tuto kontrolu provádí každý den. Sledujeme vaši firmu zvenčí, vidíme to, co vidí útočník, a každé zjištění, které posoudil náš specialista, posíláme s přesným postupem opravy pro vašeho vývojáře. Do vašich systémů nevstupujeme a žádné přístupy nepotřebujeme. Úplný seznam toho, co hlídáme, najdete na úvodní stránce a můžete si prohlédnout celý ukázkový přehled.