Jag ser Attack surface management som en praktisk säkerhetsfråga där tekniken behöver kunna verifieras, inte bara beskrivas. Attack surface management börjar med att veta vilka system, domäner, IP-adresser, tjänster och molnresurser organisationen faktiskt exponerar och vem som äger dem.
Attack surface management i praktiken
Första byggstenen: Extern inventering bör jämföras med intern CMDB eller asset inventory. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
En annan viktig del: Subdomäner och gamla testmiljöer är vanliga källor till okänd exponering. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det tekniska ankaret: Cloudresurser kan få publika endpoints utan traditionell brandväggsändring. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det som ofta avgör kvaliteten: Ägarskap är nödvändigt för att ett fynd ska kunna åtgärdas. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Ett arbetsflöde jag skulle använda
- Samla kända domäner, IP-ranges och cloudkonton.
- Upptäck externa tjänster och certifikat.
- Matcha fynd mot intern ägare.
- Klassificera om exponeringen är avsedd.
- Stäng, skydda eller dokumentera sådant som inte ska vara publikt.
För Attack surface management håller jag därför införandet i små steg. Då går det att skilja ett säkerhetsproblem från ett rent driftfel och att rulla tillbaka just den ändring som gav ett oväntat resultat.
Ett konkret scenario
En gammal staging-subdomän kan ha glömts bort av projektet men fortfarande ligga i DNS och svara över HTTPS. ASM-värdet ligger i att hitta den och knyta den till någon som kan avgöra om den ska finnas kvar.
Vanliga sätt att göra kontrollen svagare
- Att scanna Internet utan att ha en process för ägarskap.
- Att behandla varje ny hostname som sårbarhet.
- Att glömma SaaS och tredjepartsplattformar som använder organisationens domän.
Vad som måste gå att bevisa
För Attack surface management vill jag avsluta med mätbara efterkontroller i stället för att nöja mig med att en statusruta visar ”enabled”. De viktigaste kontrollerna här är:
- Varje publik tjänst har ägare och syfte.
- Oväntad exponering får ett change- eller incidentärende.
- Ny asset dyker upp i inventeringen inom rimlig tid.
Ett negativt test hör också till Attack surface management: den väg, identitet eller operation som inte ska vara tillåten ska misslyckas på ett förutsägbart sätt. Då kan nästa tekniker upprepa kontrollen och förstå både avsikten och gränsen.
Slutsats
Attack surface management – inventering först, scanning sedan handlar därför inte om att samla fler säkerhetsinställningar. Det handlar om att minska en konkret risk med en kontroll som har tydligt scope, tydlig ägare och ett verifierbart resultat. När före-läge, förändring och eftertest dokumenteras blir säkerhetsarbetet både säkrare och lättare att förvalta.