Mitä ulkoisen hyökkäyspinnan valvonta on (ja mitä se ei ole)

Ulkoisen hyökkäyspinnan valvonta on jatkuvaa työtä, jossa löydetään ja tarkistetaan kaikki, mikä yrityksestänne näkyy internetiin: verkkotunnukset, aliverkkotunnukset, DNS-tietueet, TLS-varmenteet, sähköpostin asetukset, verkkosivustot, avoimet portit ja niiden takana olevat palvelut. Se katsoo yritystänne ulkopuolelta, samalla tavalla kuin hyökkääjä ennen kohteen valintaa, ja tekee saman tarkistuksen joka päivä, jotta muutokset eivät jää huomaamatta.

Lyhyt vastaus kysymykseen ”mitä se on”: ajantasainen luettelo internetiin näkyvistä resursseistanne sekä jatkuva tarkistus tunnettujen heikkouksien ja odottamattomien muutosten varalta. Se ei asenna mitään kannettaviin tietokoneisiinne tai palvelimiinne, eikä se tarvitse salasanoja tai pääsyä verkkoonne.

Ajatus ei ole uusi. MITRE ATT&CK -viitekehyksessä tiedustelu on ensimmäinen taktiikka, ja se kuvataan vastustajan yritykseksi ”to gather information they can use to plan future operations”, eli kerätä tietoa tulevien operaatioiden suunnitteluun. Oman ulkoisen hyökkäyspinnan valvonta tarkoittaa, että teette tämän tiedustelun itse ensin, omilla ehdoillanne.

Mitä ulkoiseen hyökkäyspintaanne kuuluu

Useimmat yritykset aliarvioivat, kuinka paljon niillä on verkossa. Tyypillinen luettelo sisältää:

• Omistamanne verkkotunnukset, myös vanhat kampanjaverkkotunnukset ja maakohtaiset versiot, sekä niiden verkkotunnusvälittäjät ja vanhenemispäivät.
• DNS-tietueet: A, AAAA, CNAME, MX, TXT ja nimipalvelintietueet (NS). Yksikin väärä CNAME voi luovuttaa aliverkkotunnuksen jollekulle toiselle (ks. aliverkkotunnuksen kaappaus).
• TLS-varmenteet jokaiselle palvelinnimelle, myöntäjineen ja vanhenemispäivineen.
• Sähköpostin todennus: SPF-, DKIM- ja DMARC-tietueet, jotka ratkaisevat, voiko joku lähettää teidän postiltanne näyttävää postia.
• Verkkosivustot ja verkkosovellukset, myös testi-, staging- ja hallintapalvelimet, joiden piti olla tilapäisiä.
• Avoimet portit ja palvelut: etätyöpöytä, SSH, tietokannat, sähköpostipalvelimet, VPN-yhdyskäytävät.
• Asiat, joita ette hallitse mutta jotka käyttävät nimeänne: samankaltaiset verkkotunnukset, väärennetyt kirjautumissivut, vuotaneet tunnukset.

Miten hyökkäyspinta kasvaa kenenkään huomaamatta

Hyvin vähän tästä luodaan tarkoituksella ”hyökkäyspinnaksi”. Se kertyy tavallisen työn myötä. Kehittäjä pystyttää julkaisua varten osoitteen staging.example.com. Markkinointi rekisteröi kampanjaa varten verkkotunnuksen example-offer.com. Kumppanitoimisto ohjaa osoitteen shop.example.com hosting-alustalle, ja sopimus päättyy 2 vuotta myöhemmin. Jokainen askel on järkevä. Ongelma on, ettei luettelosta vastaa kukaan.

Certificate Transparency tekee tämän näkyväksi. Koska selainten hyväksymät varmenteet kirjataan lokeihin (protokolla on kuvattu dokumentissa RFC 9162), kuka tahansa voi hakea lokeista verkkotunnuksenne alla olevia nimiä. Lisää artikkelissa Certificate Transparency -lokit selitettynä.

Miten tarkistatte oman hyökkäyspintanne jo tänään

Ensimmäisen kuvan saatte alle tunnissa tavallisilla työkaluilla.

1. Listatkaa palvelinnimet, joilla on joskus ollut varmenne. Hakekaa palvelusta crt.sh hakulausekkeella %.yourcompany.com ja tallentakaa nimet.
2. Selvittäkää jokaisen nimen osoite ja merkitkää, mihin se osoittaa:

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Tarkistakaa sähköpostin todennus:

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Avatkaa jokainen palvelinnimi selaimessa. Merkitkää muistiin kaikki, mitä ette tunnista: palvelimen oletussivut, odottamattomat kirjautumislomakkeet ja vanhentuneet varmenteet.
2. Tarkistakaa jokaisen verkkotunnuksen verkkotunnusvälittäjä ja vanhenemispäivä komennolla whois yourcompany.com.

Kaikki löytämänne, millä ei ole selvää omistajaa, kannattaa korjata tai sulkea ensimmäisenä.

Mitä ulkoisen hyökkäyspinnan valvonta ei ole

On hyvä olla tarkka, koska termiä venytetään.

• Se ei ole tunkeutumistestaus. Tunkeutumistestaus yrittää aktiivisesti murtautua sisään, vaatii kirjallisen luvan ja kestää määrätyn ajan. Valvonta tarkkailee ja raportoi, se ei yritä hyödyntää mitään.
• Se ei ole päätelaitteiden suojausta. EDR- ja XDR-työkalut toimivat verkkonne sisällä ja seuraavat prosesseja ja kirjautumisia. Ulkoinen valvonta näkee sen, mikä näkyy ulospäin, jo ennen kuin mitään saapuu verkkoonne. Näkökulmat täydentävät toisiaan, kuten artikkelissa hyökkäyspinnan valvonta vs. EDR ja XDR selitetään.
• Se ei ole kertaluonteinen skannaus. Viime kevään raportti kuvaa viime kevättä. Arvo syntyy muutosten huomaamisesta: uusi aliverkkotunnus, vaihtunut nimipalvelin, varmenne, jota kukaan ei pyytänyt.
• Se ei ole luettelo pelottavia lukuja. Hyödyllinen havainto kertoo, mitä löytyi, miksi sillä on merkitystä ja tarkalleen miten sen korjaa.

Lyhyt tarkistuslista

• Pitäkää yhtä luetteloa kaikista verkkotunnuksista ja niiden omistajista, ja asettakaa uusiminen automaattiseksi.
• Käykää DNS läpi tietueiden osalta, jotka osoittavat palveluihin, joita ette enää käytä.
• Varmistakaa, että jokaisella internetiin näkyvällä palvelinnimellä on kelvollinen varmenne ja omistaja.
• Julkaiskaa SPF, DKIM ja DMARC, ja siirtäkää DMARC vähitellen pakottavaan käytäntöön.
• Estäkää pääsy etätyöpöydän ja tietokantojen portteihin internetistä.
• Poistakaa tai suojatkaa testi- ja staging-palvelimet (ks. unohdetut staging- ja testipalvelimet).
• Toistakaa läpikäynti aikataulun mukaan, ei vain poikkeaman jälkeen.

Datahorsesin rooli

Datahorses tekee tämän läpikäynnin joka päivä. Valvomme yritystänne ulkopuolelta, näemme sen, minkä hyökkääjä näkee, ja lähetämme jokaisen havainnon tarkkoine korjausohjeineen kehittäjällenne asiantuntijan tarkastamana. Emme mene järjestelmiinne emmekä tarvitse pääsyoikeuksia. Koko luettelo siitä, mitä valvomme, on etusivulla, ja voitte tutustua kokonaiseen esimerkkinäkymään.