Wat monitoring van het externe aanvalsoppervlak is (en wat niet)

Monitoring van het externe aanvalsoppervlak is het doorlopend opsporen en controleren van alles wat uw bedrijf aan het internet blootstelt: domeinen, subdomeinen, DNS-records, TLS-certificaten, e-mailinstellingen, websites, open poorten en de diensten daarachter. Het bekijkt uw bedrijf van buitenaf, op dezelfde manier als een aanvaller voordat hij een doelwit kiest, en herhaalt die blik elke dag, zodat wijzigingen niet onopgemerkt blijven.

Het korte antwoord op de vraag "wat is het": een actuele inventaris van uw systemen die op internet zichtbaar zijn, plus doorlopende controles van die systemen op bekende zwakke plekken en onverwachte wijzigingen. Er wordt niets geïnstalleerd op uw laptops of servers, en er zijn geen wachtwoorden of netwerktoegang nodig.

Het idee is niet nieuw. In het MITRE ATT&CK-framework is verkenning de eerste tactiek, beschreven als de tegenstander die probeert "to gather information they can use to plan future operations". Uw eigen externe oppervlak monitoren betekent dat u die verkenning als eerste uitvoert, op uw eigen voorwaarden.

Wat valt onder uw externe aanvalsoppervlak

De meeste bedrijven onderschatten hoeveel ze online hebben. Een typische lijst bevat:

• Domeinen die u bezit, ook oude campagnedomeinen en landvarianten, met hun registrar en vervaldatum.
• DNS-records: A, AAAA, CNAME, MX, TXT en nameserverrecords (NS). Eén verkeerd CNAME-record kan een subdomein aan iemand anders overdragen (zie subdomain takeover).
• TLS-certificaten voor elke hostnaam, met hun uitgever en vervaldatum.
• E-mailauthenticatie: SPF-, DKIM- en DMARC-records die bepalen of iemand e-mail kan versturen die op die van u lijkt.
• Websites en webapplicaties, ook staging-, test- en beheerhosts die tijdelijk bedoeld waren.
• Open poorten en diensten: extern bureaublad, SSH, databases, mailservers, VPN-gateways.
• Zaken buiten uw controle die uw naam gebruiken: lookalike-domeinen, valse inlogpagina's, gelekte inloggegevens.

Hoe het oppervlak groeit zonder dat iemand het merkt

Heel weinig hiervan wordt bewust als "aanvalsoppervlak" aangemaakt. Het stapelt zich op door gewoon werk. Een ontwikkelaar zet staging.example.com op voor een release. Marketing registreert example-offer.com voor een campagne. Een bureau laat shop.example.com naar een gehost platform wijzen en het contract loopt 2 jaar later af. Elke stap is redelijk. Het probleem is dat niemand eigenaar is van de lijst.

Certificate Transparency maakt dit zichtbaar. Omdat algemeen vertrouwde certificaten worden gelogd (het protocol staat beschreven in RFC 9162), kan iedereen in de logs zoeken naar namen onder uw domein. Meer daarover in Certificate Transparency-logs uitgelegd.

Zo controleert u vandaag uw eigen oppervlak

Met standaardtools krijgt u in minder dan een uur een eerste beeld.

1. Maak een lijst van de hostnamen die ooit een certificaat hadden. Zoek op crt.sh naar %.yourcompany.com en exporteer de namen.
2. Ga voor elke naam na waarnaar die verwijst en noteer het:

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Controleer de e-mailauthenticatie:

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Open elke hostnaam in een browser. Noteer alles wat u niet herkent, alles wat een standaard serverpagina toont, een inlogformulier dat u niet verwachtte of een verlopen certificaat.
2. Controleer de registrar en vervaldatum van elk domein met whois yourcompany.com.

Alles zonder duidelijke eigenaar is het eerste wat u herstelt of uitschakelt.

Wat monitoring van het externe aanvalsoppervlak niet is

Het loont om precies te zijn, want de term wordt vaak opgerekt.

• Het is geen penetratietest. Een penetratietest probeert actief binnen te dringen, vereist een schriftelijke machtiging en loopt gedurende een vaste periode. Monitoring observeert en rapporteert; ze probeert niets te misbruiken.
• Het is geen endpointbeveiliging. EDR- en XDR-tools draaien binnen uw netwerk en volgen processen en aanmeldingen. Externe monitoring ziet wat zichtbaar is voordat iets uw netwerk bereikt. Beide blikken vullen elkaar aan, zoals uitgelegd in monitoring van het aanvalsoppervlak versus EDR en XDR.
• Het is geen eenmalige scan. Een rapport van vorig voorjaar beschrijft vorig voorjaar. De waarde zit in het opmerken van verandering: een nieuw subdomein, een gewijzigde nameserver, een certificaat dat niemand heeft aangevraagd.
• Het is geen lijst met angstaanjagende cijfers. Een nuttige bevinding zegt wat er gevonden is, waarom het ertoe doet en precies hoe u het oplost.

Korte checklist

• Houd één lijst bij van elk domein en wie de eigenaar is, met automatische verlenging.
• Doorzoek uw DNS op records die wijzen naar diensten die u niet meer gebruikt.
• Zorg dat elke zichtbare hostnaam een geldig certificaat en een eigenaar heeft.
• Publiceer SPF, DKIM en DMARC, en breng DMARC richting handhaving.
• Sluit poorten voor extern bureaublad en databases af van het internet.
• Verwijder of bescherm staging- en testhosts (zie vergeten staging- en testservers).
• Herhaal de controle volgens een vast schema, niet alleen na een incident.

De rol van Datahorses

Datahorses voert deze controle elke dag uit. We bewaken uw bedrijf van buitenaf, zien wat een aanvaller kan zien en sturen elke bevinding met exacte herstelstappen voor uw ontwikkelaar, beoordeeld door een specialist. We gaan uw systemen niet binnen en hebben geen toegang nodig; de volledige lijst van wat wij bewaken staat op de homepage, en u kunt een volledig voorbeelddashboard bekijken.