Qué es la vigilancia de la superficie de ataque externa (y qué no es)

La vigilancia de la superficie de ataque externa (en inglés, external attack surface monitoring o EASM) es la práctica continua de localizar y revisar todo lo que su empresa expone en internet: dominios, subdominios, registros DNS, certificados TLS, configuración del correo, sitios web, puertos abiertos y los servicios que hay detrás. Mira su empresa desde fuera, igual que lo hace un atacante antes de elegir un objetivo, y repite esa mirada cada día para que los cambios no pasen desapercibidos.

La respuesta corta a "qué es" es esta: un inventario actualizado de sus activos expuestos a internet, más una revisión continua de esos activos en busca de debilidades conocidas y cambios inesperados. No instala nada en sus portátiles ni en sus servidores, y no necesita contraseñas ni acceso a la red.

La idea no es nueva. En el marco MITRE ATT&CK, el reconocimiento es la primera táctica, descrita como el intento del adversario de "reunir información que pueda usar para planificar futuras operaciones". Vigilar su propia superficie externa significa hacer ese reconocimiento antes que nadie, y en sus propios términos.

Qué forma parte de su superficie de ataque externa

La mayoría de las empresas subestiman cuánto tienen en internet. Una lista típica incluye:

• Los dominios que posee, incluidos antiguos dominios de campañas y variantes por país, con su registrador y sus fechas de caducidad.
• Registros DNS: A, AAAA, CNAME, MX, TXT y de servidores de nombres (NS). Un solo CNAME erróneo puede entregar un subdominio a otra persona (consulte secuestro de subdominios).
• Certificados TLS de cada nombre de host, con sus emisores y su caducidad.
• Autenticación del correo: los registros SPF, DKIM y DMARC que deciden si alguien puede enviar correo que parezca suyo.
• Sitios y aplicaciones web, incluidos los hosts de preproducción, de pruebas y de administración que iban a ser temporales.
• Puertos y servicios abiertos: escritorio remoto, SSH, bases de datos, servidores de correo, pasarelas VPN.
• Elementos fuera de su control que usan su nombre: dominios similares, páginas de acceso falsas, credenciales filtradas.

Cómo crece la superficie sin que nadie lo note

Muy poco de todo esto se crea a propósito como "superficie de ataque". Se acumula con el trabajo normal. Un desarrollador levanta staging.example.com para una versión. Marketing registra example-offer.com para una campaña. Una agencia apunta shop.example.com a una plataforma alojada y el contrato termina 2 años después. Cada paso es razonable. El problema es que nadie es responsable de la lista.

Certificate Transparency lo hace visible. Como los certificados reconocidos por los navegadores quedan anotados en registros (el protocolo se describe en el RFC 9162), cualquiera puede buscar en ellos nombres bajo su dominio. Encontrará más información en los registros de Certificate Transparency explicados.

Cómo revisar hoy su propia superficie

Con herramientas estándar puede obtener una primera imagen en menos de 1 hora.

1. Enumere los nombres de host que alguna vez tuvieron un certificado. Busque %.yourcompany.com en crt.sh y exporte los nombres.
2. Resuelva cada nombre y anote adónde apunta:

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Compruebe la autenticación del correo:

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Abra cada nombre de host en un navegador. Anote lo que no reconozca, lo que muestre una página por defecto del servidor, un formulario de acceso que no esperaba o un certificado caducado.
2. Compruebe el registrador y la caducidad de cada dominio con whois yourcompany.com.

Todo lo que encuentre sin un responsable claro es lo primero que debe corregir o apagar.

Lo que no es la vigilancia de la superficie de ataque externa

Conviene ser preciso, porque el término se estira mucho.

• No es una prueba de penetración. Una prueba de penetración intenta entrar de forma activa, necesita autorización por escrito y dura un periodo determinado. La vigilancia observa e informa; no intenta explotar nada.
• No es protección de endpoints. Las herramientas EDR y XDR funcionan dentro de su red y vigilan procesos e inicios de sesión. La vigilancia externa ve lo que es visible antes de que nada llegue a su red. Ambas visiones se complementan, como explicamos en vigilancia de la superficie de ataque frente a EDR y XDR.
• No es un análisis puntual. Un informe de la primavera pasada describe la primavera pasada. El valor está en detectar los cambios: un subdominio nuevo, un servidor de nombres modificado, un certificado que nadie solicitó.
• No es una lista de cifras alarmantes. Un hallazgo útil dice qué se ha encontrado, por qué importa y cómo corregirlo exactamente.

Lista de comprobación breve

• Mantenga una única lista de todos sus dominios y de sus responsables, con la renovación en pago automático.
• Revise el DNS en busca de registros que apunten a servicios que ya no usa.
• Asegúrese de que cada nombre de host expuesto a internet tiene un certificado válido y un responsable.
• Publique SPF, DKIM y DMARC, y lleve DMARC hacia el modo de aplicación.
• Cierre a internet los puertos de escritorio remoto y de bases de datos.
• Elimine o proteja los hosts de preproducción y de pruebas (consulte servidores de pruebas olvidados).
• Repita la revisión de forma periódica, no solo después de un incidente.

Dónde encaja Datahorses

Datahorses hace esta revisión todos los días. Vigilamos su empresa desde fuera, vemos lo que puede ver un atacante y enviamos cada hallazgo, revisado por una persona, con los pasos exactos de corrección para su desarrollador. No entramos en sus sistemas ni necesitamos ningún acceso; la lista completa de lo que vigilamos está en la página de inicio, y puede ver un panel de ejemplo completo.