Jak dobrze znasz swoją powierzchnię ataku? Pięć wskazówek, jak zmniejszyć ryzyko narażenia na ataki.

Czym jest powierzchnia ataku?

Powierzchnia ataku to cały obszar organizacji lub systemu, który jest podatny na atak ze źródła zewnętrznego. Składa się ze wszystkich punktów dostępu, których nieautoryzowana osoba może użyć do wejścia do systemu. Obejmuje to wszystko, od nazw domen, certyfikatów SSL i protokołów po systemy operacyjne, urządzenia IoT i usługi sieciowe. Zasoby te są rozproszone po środowiskach lokalnych, chmurowych, spółkach zależnych i stanowią jedne z najłatwiejszych punktów wejścia do sieci wewnętrznych i zawartych w nich wrażliwych danych.

W miarę jak organizacje coraz częściej wdrażają usługi w chmurze i hybrydowe modele pracy, ich sieci i powiązane powierzchnie ataków stają się z dnia na dzień większe i bardziej złożone. Im większa jest powierzchnia ataku, tym trudniej jest chronić . Według raportu Randori The State of Attack Surface Management 2022 w ciągu dwóch poprzedzających lat w 67% organizacji powiększyły się powierzchnie ataków. Analityk branżowy Gartner uznał ekspansję powierzchni ataku za trend nr 1 w zakresie bezpieczeństwa i zarządzania ryzykiem w roku 2022.

Zmniejszenie rozmiaru powierzchni ataku może zminimalizować ryzyko naruszenia bezpieczeństwa. Postępując zgodnie z pięcioma poniższymi wskazówkami, organizacje mogą: zmniejszyć liczbę możliwości, jakie mają cyberprzestępcy, wzmocnić swój poziom cyberbezpieczeństwa i aktywnie chronić cenne zasoby przed złośliwymi podmiotami.

Najważniejsze wskazówki, jak zmniejszyć ekspozycję powierzchni na ataki zewnętrzne

1. Nie zezwalaj na połączenia protokołu RDP (Remote Desktop Protocol) spoza sieci Twojej organizacji

• Stwórz serwer znajdujący się poza granicami Twojej sieci
• Zainstaluj nmap lub inny skaner sieciowy, który najlepiej Ci pasuje
• Pobierz listę zakresów adresów IP
• Skonfiguruj zadanie cron, aby stale skanować w poszukiwaniu portu 3389
• Zbieraj logi co tydzień
• Użyj tej listy, aby znaleźć osobę w Twojej organizacji, która jest właścicielem lub jest odpowiedzialna za każdego hosta, który odpowiedział na porcie 3389 Wskazówki:
  • Nazwa domeny (jeśli dotyczy)
  • Uwagi dotyczące zakresu adresów IP IPAM
  • Banery logowania
• W przypadku wszystkich hostów, które muszą mieć dostęp do protokołu RDP w Internecie, włącz uwierzytelnianie wieloskładnikowe (MFA) , usuń je z powyższego skryptu skanowania i kontynuuj proces skanowania
• Użyj uwierzytelniania na poziomie sieci, funkcji usług pulpitu zdalnego, która wymaga uwierzytelnienia użytkownika przed połączeniem się z serwerem

2. Unikaj zezwalania na wyświetlanie katalogów na swoich serwerach internetowych

Listy katalogów narażają serwer na ataki i wiele różnych luk w zabezpieczeniach. Ponadto serwer WWW może zawierać pliki, które nie powinny być ujawniane poprzez linki znajdujące się na stronie. Upewnij się, że Twój serwer nie udostępnia list katalogów, a jeśli to konieczne, upewnij się, że katalogi nie zawierają poufnych informacji.

Co zrobić?

• Stwórz serwer znajdujący się poza granicami Twojej sieci
• Zainstaluj nmap lub inny skaner sieciowy, który najlepiej Ci pasuje
• Pobierz listę zakresów adresów IP
• Skonfiguruj zadanie cron, aby stale skanować w poszukiwaniu otwartego protokołu HTTP
• Zbieraj logi co tydzień
• W przypadku każdego hosta odpowiadającego na porcie HTTP lub HTTPS użyj tej listy jako danych wejściowych dla wybranego narzędzia do skanowania aplikacji internetowych (takiego jak nikto lub dirsearch)

  Wskazówki:

  • Nazwa domeny (jeśli dotyczy)
  • Uwagi dotyczące zakresu adresów IP IPAM
  • Banery logowania
  • Inne informacje o stronie internetowej

3. Umieść środowiska testowe za VPN

• Zidentyfikuj wszystkie środowiska produkcyjne:
• Zainstaluj nmap lub inny skaner sieciowy, który najlepiej Ci pasuje
  • Uzyskaj przejrzystą listę domen i zakresów adresów IP od administratora IT, dostawców sieci dostarczania treści i dostawców zapór sieciowych dla aplikacji internetowych
  • Zapytaj o wyszukiwanie wsteczne Whois pod nazwą swojej organizacji (jest do tego wielu dostawców i narzędzi typu open source)
• Wszystkie inne środowiska (domeny, subdomeny i maszyny z adresami IP skierowanymi na zewnątrz) powinny być chronione za pomocą VPN i MFA

4. Unikaj wrogich przejęć subdomen

• Porozmawiaj ze swoim zespołem administratorów IT i uzyskaj dostęp do swojego DNS
• Wykonaj transfer strefy we wszystkich domenach należących do Twojej organizacji
• Uzyskaj listę wszystkich zakresów adresów IP
• Przeanalizuj adresy IP na podstawie znanej listy zakresów adresów IP
• W przypadku adresów IP, które nie są częścią Twojej infrastruktury, dowiedz się, do kogo należą (wyszukiwanie Whois, opublikowana lista zakresów adresów IP dostawców usług w chmurze)
• Ustal, czy wskazują na coś, co wiesz, że posiadasz
• Każdą nieużywaną subdomenę należy odpowiednio wycofać:
  • Użyj rekordu „Null MX”.
  • Użyj konfiguracji DMARC, aby uniemożliwić wysyłanie jakichkolwiek wiadomości e-mail w imieniu subdomeny

5. Wymuszaj sprawdzanie poprawności danych wejściowych

• Postępuj zgodnie ze dokumentem dotyczącym sprawdzania poprawności danych wejściowych OWASP (https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html)
• Załóż, że wszystkie zewnętrzne dane wejściowe zdefiniowane przez użytkownika są powierzchnią ataku:
  • Pola formularzy
  • Jednolite identyfikatory zasobów (URI)
  • APIs
  • Załączniki
  • I więcej

Podsumowanie

Zobacz także:

Jak zmodernizować i unowocześnić zarządzanie uprawnieniami i tożsamością w Microsoft Active Directory? Poznaj zaawansowane rozwiązania cyberbezpieczeństwa Crowdstrike oraz Zscaler