Čo je monitoring vonkajšej útočnej plochy (a čo nie je)

Monitoring vonkajšej útočnej plochy je priebežné hľadanie a overovanie všetkého, čo vaša firma vystavuje do internetu: domén, subdomén, záznamov DNS, certifikátov TLS, nastavení pošty, webov, otvorených portov a služieb za nimi. Pozerá sa na vašu firmu zvonku, rovnako ako útočník predtým, než si vyberie cieľ, a tento pohľad opakuje každý deň, aby zmeny neostali bez povšimnutia.

Stručne povedané: aktuálny prehľad všetkého, čo máte dostupné z internetu, a k tomu nepretržitá kontrola, či sa tam neobjavili známe slabiny alebo nečakané zmeny. Na vaše notebooky ani servery sa nič neinštaluje a netreba ani heslá, ani prístup do siete.

Myšlienka nie je nová. V rámci MITRE ATT&CK je prieskum prvou taktikou, opísanou ako snaha protivníka „zhromaždiť informácie, ktoré môže použiť na plánovanie budúcich operácií“. Keď monitorujete vlastnú vonkajšiu plochu, robíte tento prieskum ako prví a podľa vlastných pravidiel.

Čo patrí do vašej vonkajšej útočnej plochy

Väčšina firiem podceňuje, koľko toho má na internete. Typický zoznam obsahuje:

• Domény, ktoré vlastníte, vrátane starých domén z kampaní a národných variantov, spolu s ich registrátorom a dátumom expirácie.
• Záznamy DNS: A, AAAA, CNAME, MX, TXT a záznamy nameserverov (NS). Jediný chybný CNAME môže subdoménu vydať do rúk niekomu inému (viac v článku prevzatie subdomény).
• Certifikáty TLS pre každý názov hostiteľa, s vydavateľom a dátumom expirácie.
• Overovanie pošty: záznamy SPF, DKIM a DMARC, ktoré rozhodujú o tom, či niekto môže poslať poštu, ktorá vyzerá ako vaša.
• Weby a webové aplikácie, vrátane testovacích a administrátorských serverov, ktoré mali byť len dočasné.
• Otvorené porty a služby: vzdialená plocha, SSH, databázy, poštové servery, brány VPN.
• To, čo nemáte pod kontrolou, ale nesie vaše meno: podobné domény, falošné prihlasovacie stránky, uniknuté prihlasovacie údaje.

Ako plocha rastie bez toho, aby si to niekto všimol

Len málo z toho niekto zámerne vytvorí ako „útočnú plochu“. Pribúda to bežnou prácou. Vývojár spustí staging.example.com pre nové vydanie. Marketing zaregistruje example-offer.com pre kampaň. Agentúra nasmeruje shop.example.com na hostovanú platformu a zmluva skončí o 2 roky neskôr. Každý krok je rozumný. Problém je, že zoznam nemá nikto na starosti.

Vďaka Certificate Transparency to však vidno. Všeobecne dôveryhodné certifikáty sa zapisujú do záznamov CT (protokol opisuje RFC 9162), takže v nich ktokoľvek môže vyhľadať mená pod vašou doménou. Viac v článku záznamy Certificate Transparency zrozumiteľne.

Ako si plochu overiť ešte dnes

Prvý prehľad získate bežnými nástrojmi za menej ako 1 hodinu.

1. Vypíšte názvy hostiteľov, ktoré niekedy mali certifikát. Na crt.sh vyhľadajte %.yourcompany.com a mená si exportujte.
2. Pri každom mene zistite cez DNS, kam smeruje, a poznačte si to:

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Skontrolujte overovanie pošty:

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Každý názov hostiteľa otvorte v prehliadači. Poznačte si všetko, čo nepoznáte, a každú predvolenú stránku servera, nečakaný prihlasovací formulár či expirovaný certifikát.
2. Pri každej doméne overte registrátora a expiráciu cez whois yourcompany.com.

Všetko, čo nemá jasného vlastníka, opravte alebo vypnite ako prvé.

Čo monitoring vonkajšej útočnej plochy nie je

Tu záleží na presnosti, pretože pojem sa často používa príliš voľne.

• Nie je to penetračný test. Penetračný test sa aktívne snaží preniknúť dnu, potrebuje písomné poverenie a prebieha vo vymedzenom čase. Monitoring pozoruje a hlási, nič sa nepokúša zneužiť.
• Nie je to ochrana koncových zariadení. Nástroje EDR a XDR bežia vo vnútri vašej siete a sledujú procesy a prihlásenia. Monitoring zvonku vidí to, čo je vidno ešte predtým, než sa čokoľvek dostane do vašej siete. Oba pohľady sa dopĺňajú, ako vysvetľuje článok monitoring útočnej plochy verzus EDR a XDR.
• Nie je to jednorazový sken. Správa z minulej jari opisuje stav z minulej jari. Zmysel monitoringu je v tom, že si všimnete zmenu: novú subdoménu, zmenený nameserver, certifikát, ktorý nikto nežiadal.
• Nie je to zoznam strašidelných čísel. Užitočné zistenie povie, čo sa našlo, prečo na tom záleží a ako presne to opraviť.

Krátky kontrolný zoznam

• Veďte jeden zoznam všetkých domén a ich vlastníkov a obnovu nastavte s automatickou platbou.
• Prejdite DNS a hľadajte záznamy, ktoré smerujú na služby, ktoré už nepoužívate.
• Uistite sa, že každý server dostupný z internetu má platný certifikát a vlastníka.
• Nastavte SPF, DKIM a DMARC a DMARC postupne sprísňujte až k vynucovaniu.
• Zatvorte porty vzdialenej plochy a databáz otvorené do internetu.
• Testovacie servery odstráňte alebo ochráňte (viac v článku zabudnuté testovacie servery).
• Kontrolu opakujte pravidelne, nielen po incidente.

Kde pomáha Datahorses

Datahorses robí túto kontrolu každý deň. Vašu firmu strážime zvonku a vidíme to isté čo útočník. Každé zistenie posúdi náš špecialista a pošleme ho s presným postupom opravy pre vášho vývojára. Do vašich systémov nevstupujeme a žiadne prístupy nepotrebujeme. Úplný zoznam toho, čo strážime, nájdete na úvodnej stránke a pozrieť si môžete aj celý ukážkový prehľad.