EASM: как найти забытые серверы и открытые базы раньше злоумышленников

Внешняя поверхность атаки — это все ресурсы компании, доступные из интернета. Проблема в том, что с течением времени она разрастается стихийно: запускаются тестовые стенды, открываются базы данных для подрядчиков, создаются поддомены под разовые акции. Часть этих ресурсов забывается, но продолжает отвечать на запросы извне. Для атакующего такой «цифровой мусор» — удобная точка входа: он не требует сложной эксплуатации, достаточно найти открытый порт или незащищённый сервис. Именно на решение этой задачи нацелен класс решений EASM (External Attack Surface Management) — управление внешней поверхностью атаки. В отличие от классических сканеров уязвимостей, которые работают по заранее известному списку активов, EASM сначала пытается обнаружить сами активы, а уже затем оценивает их защищённость. По сути, это взгляд на собственную инфраструктуру глазами атакующего: специалисты и автоматизированные системы ищут то, что компания не внесла в инвентарь, но что уже видно из интернета.

Подробности

Ключевое отличие EASM от обычного сканера — в подходе к инвентаризации. Традиционный сканер получает на вход перечень IP-адресов и доменов и проверяет их на известные уязвимости. EASM действует обратным образом: он собирает данные из открытых источников, анализирует DNS-записи, сертификаты, диапазоны адресов и связи между ними, чтобы выявить активы, о которых владелец может не знать. В результате обнаруживаются поддомены старых акций, тестовые серверы, поднятые годы назад, и открытые базы данных, оставшиеся без присмотра. Типичный пример из практики, описанный в исходном материале, — забытый сервер одиннадцатилетней давности, который всё ещё доступен извне. Такие находки особенно опасны, потому что на устаревших системах обычно не установлены актуальные патчи, а значит, риск эксплуатации известных уязвимостей и получения RCE существенно выше. Дополнительный риск создают открытые базы данных: даже без прямой уязвимости в СУБД они могут отдавать данные при неверно настроенной аутентификации. Отдельная ценность EASM — непрерывность мониторинга. Периметр меняется постоянно: появляются новые поддомены, меняются сертификаты, подрядчики поднимают временные сервисы. Разовый аудит фиксирует состояние на конкретную дату, тогда как EASM-платформа отслеживает изменения и сигнализирует о новых активах и отклонениях.

Что делать

Первым шагом стоит составить максимально полный инвентарь внешних активов: домены и поддомены, IP-диапазоны, облачные ресурсы, публичные API. Важно сверить этот список с реальностью, а не ограничиваться данными из учётных систем — именно расхождения и являются зоной риска. Далее необходимо регулярно проверять, какие сервисы фактически доступны из интернета, и сопоставлять их с бизнес-необходимостью. Всё, что не должно быть публичным, следует закрыть или ограничить по IP, а тестовые и устаревшие стенды — вывести из эксплуатации. Для публичных сервисов обязательны актуальные патчи, корректная настройка аутентификации и MFA там, где это применимо, а также защищённые каналы TLS. Наконец, имеет смысл рассмотреть специализированные EASM-решения, в том числе представленные на российском рынке, — они автоматизируют поиск теневых активов и позволяют быстрее реагировать на изменения периметра. Регулярный мониторинг внешней поверхности атаки должен стать такой же рутиной, как обновление антивирусных баз. Забытый сервер или открытая база — это не гипотетическая угроза, а конкретная точка входа, которую атакующий найдёт раньше, чем служба безопасности вспомнит о её существовании. Контроль внешнего периметра перестаёт быть разовой задачей и превращается в постоянный процесс.

Источник: Хабр — Информационная безопасность