ניהול משטח תקיפה חיצוני: מה האינטרנט יודע על הארגון לפני התוקף?

לפני שתוקף מנסה לפרוץ, הוא בדרך כלל מסתכל מבחוץ. דומיינים, תתי דומיינים, שרתים ישנים, סביבות בדיקה, פורטים פתוחים, תעודות שפג תוקפן, כתובת IP שנשארה אחרי פרויקט, ממשק ניהול שנחשף בלי כוונה. חלק מהדברים האלה מוכרים לצוות ה-IT, חלקם נשכחו מזמן. מבחינת האינטרנט, רובם עדיין שם.

ניהול משטח תקיפה חיצוני, או EASM, מנסה לענות על שאלה אחת: מה רואה מי שמסתכל על הארגון מבחוץ. זו אינה בדיקת חדירות חד פעמית, אלא תהליך מתמשך של גילוי נכסים, בדיקת חשיפות ותיעדוף. ככל שהארגון גדל, עובר לענן ונשען על יותר ספקים, לרוב קשה יותר לענות עליה.

איך נכסים נשכחים נוצרים?

כמעט תמיד יש סיפור הגיוני מאחורי נכס חשוף. צוות פיתוח הקים סביבת ניסוי. ספק פתח דומיין לקמפיין. פרויקט ענן עלה בתוך דקות ונשאר. מערכת הוחלפה, אבל כתובת ה-IP עדיין מגיבה. המעבר לענן רק האיץ את הקצב, כי שרת, שירות אחסון או API יכולים לקום מהר ולהישכח מהר. אף אחד לא התכוון לרעה, אבל הסביבה החיצונית גדלה בלי שמישהו מנהל אותה כמפה אחת. הבעיה היא פחות עצם החשיפה ויותר מה שמאחוריה: לפעמים הנכס מחובר למערכת פנימית, נשען על סיסמה ישנה, אינו מקבל עדכונים, או מחזיק מידע שלא אמור לשבת שם.

EASM לעומת התחומים המשלימים לו

כאן כדאי לדייק, כי כמה תחומים קרובים נוטים להתערבב. EASM הקלאסי עוסק בנכסים שמחוברים לרשת: דומיינים, כתובות, שירותים ותעודות. ניטור סודות וקוד הוא תחום נפרד, שעוסק במפתחות גישה, בסיסמאות ובטוקנים שנשארים בתוך קוד או עולים למאגר ציבורי כמו GitHub, ולרוב הוא מכונה סריקת סודות או Digital Risk Protection. חשיפות של ספקים נוגעות בנכסים ששותף מפעיל בשם הארגון ולא תמיד רשומים אצלו. חשיפות בענן, כמו הגדרה שגויה או דלי אחסון פתוח, נבדקות בדרך כלל בכלי CSPM ייעודי, לא ב-EASM עצמו.

המשותף לכל אלה הוא השאלה מה גלוי מבחוץ בלי שהתכוונו לכך. ההבדל הוא באיזה כלי ובאיזה צוות מטפלים בכל שכבה. תוכנית בוגרת מחברת את הפידים האלה לתמונה אחת במקום להריץ כל תחום בנפרד, אבל חשוב לזכור שהם מקורות מידע שונים ולא אותו כלי.

לא כל חשיפה היא אירוע חירום

ניהול נכון של משטח התקיפה אינו רשימה ארוכה של ממצאים. צריך להבחין בין נכס שולי לבין מערכת שמובילה לנתונים רגישים. פורט פתוח בסביבה מבודדת אינו דומה לממשק ניהול חשוף בלי MFA. תעודה שפגה באתר לא פעיל אינה דומה לאפליקציה עסקית שמקבלת תנועת לקוחות. לכן התהליך צריך לשאול על כל ממצא מי הבעלים, מה הנכס עושה, האם הוא פעיל, האם ידועה בו חולשה, והאם הוא באמת נגיש מבחוץ. בלי ההקשר הזה, צוותי אבטחה עלולים לטבוע בממצאים ולפספס את מה שחשוב.

מגילוי לתיקון: תהליך העבודה והמדדים

תוכנית EASM שעובדת בנויה כמחזור חוזר, לא כפרויקט חד פעמי. גילוי אוסף את הנכסים והחשיפות. אימות מפריד בין ממצא אמיתי לרעש, כי סורק שמתריע על הכול מאבד אמון תוך שבוע. שיוך בעלות מצמיד לכל נכס אחראי בארגון, כי בלי בעלים הממצא נשאר פתוח. תיעדוף מדרג לפי סיכון ולא לפי כמות. תיקון סוגר את החשיפה בלי לשבור שירות פעיל. ואימות מחדש בודק שהחשיפה נסגרה ולא חזרה כעבור חודש דרך אותה טעות.

את ההצלחה עדיף למדוד ולא להעריך בתחושה. כמה זמן עובר בין גילוי לסגירה, איזה חלק מהנכסים כבר משויכים לבעלים, כמה חשיפות דחופות נסגרו החודש, והאם מספר הנכסים החשופים יורד לאורך זמן. מדדים כאלה הופכים את הנושא לתהליך שאפשר לנהל ולהראות בו התקדמות.

איך בינת מחברת בין הגילוי לתיקון?

כשמוצאים נכס חשוף, לא מספיק להצביע עליו. צריך להבין מי אחראי, איך סוגרים בלי לפגוע בשירות, ואיך מונעים ממנו לחזור. כאן נכנס הערך של מי שמכיר את כל השרשרת. בינת עובדת לרוחב אבטחת מידע, תקשורת, ענן, דאטה סנטר ושירותים מנוהלים, כך שהמעבר מהממצא אל התיקון קורה בתוך אותו צוות ולא נופל בין ספקים.

לראות את עצמך כמו שהתוקף רואה אותך

היתרון של EASM הוא בעיקר שינוי זווית. במקום להסתכל רק מבפנים החוצה, הארגון מקבל מבט מבחוץ פנימה, ויכול לסגור פערים קטנים לפני שהם הופכים לנתיב תקיפה. בעולם שבו נכסים נוצרים מהר, כדאי שגם הנראות תהיה רציפה, וכדאי לזכור שהיא חלק מתוכנית אבטחה רחבה יותר ולא תחליף לה.