Картирование поверхности атаки

Сначала скоуп — перечисление это разведка, а у разведки есть правила

Этот урок живёт внутри авторизованного проекта. Разведка — MITRE ATT&CK выделяет её в тактику TA0043 — это первое, что делает атакующий, и первое, что делаешь ты, но техники перечисления здесь применимы только к активам, входящим в твой подписанный скоуп. «Мы владеем доменом example.com» — это не то же самое, что «нам разрешено тестировать каждый хост, резолвящийся под ним»: поддомен может оказаться сторонним SaaS (status.example.com, указывающий на страницу статуса вендора), который твой документ скоупа явно исключает. Прежде чем перечислять, ты подтверждаешь, что в границах; когда перечисление обнаруживает что-то неожиданное, следующий ход — сверить это со скоупом, а не зондировать. Само обнаружение — «этот хост существует и выставлен наружу» — и есть результат. Всё в этом уроке — это пассивное и лёгкое перечисление, которое ты запускаешь по своему авторизованному хозяйству, чтобы увидеть, что ты на самом деле выставляешь.

Почему это так важно: большинство организаций не могут точно сказать, что у них есть в интернете. Облачные аккаунты поднимаются за минуты, команды регистрируют поддомены, не сообщая безопасности, поглощения приносят целые унаследованные хозяйства, а «временная» демо-машина переживает проект на годы. Атакующему всё равно, что из этого было намеренным. Он перечисляет всё, находит самую слабую выставленную вещь и начинает с неё.

Поверхность атаки = каждая достижимая точка входа, намеренная или нет

Поверхность атаки — это полный набор точек, где атакующий мог бы попытаться взаимодействовать с твоими системами: каждый резолвящийся домен и поддомен, каждый открытый порт и сервис, каждый эндпоинт и параметр API, каждый облачный бакет и аккаунт хранилища, каждая сторонняя интеграция и — на краях — каждая учётка и сотрудник, касающийся системы. Ключевое слово — «достижимая». Прекрасно укреплённый боевой кластер не уменьшит твою поверхность ни на байт, если забытый staging-хост в той же VPC распахнут настежь.

Перечисление — это дисциплинированный процесс обнаружения этой поверхности, чтобы её можно было измерить и сократить. Оно идёт тремя переплетёнными проходами — найти активы, развернуть каждый актив в его поддомены и сервисы и вытащить наружу shadow IT, который никто не отслеживает.

Три прохода перечисления

Обнаружение активов отвечает на «чем мы владеем?» прежде, чем на «что это выставляет наружу?». Ты стартуешь от затравок — корневой домен, имя компании, известный блок IP — и разворачиваешься вовне. WHOIS и данные регистратора раскрывают родственные домены; опубликованные регистрации ASN и диапазонов IP (записи RIR) раскрывают принадлежащие сетевые блоки; инвентаризации облачных аккаунтов раскрывают, что и где работает; логи прозрачности сертификатов (каждый когда-либо выпущенный TLS-сертификат публично логируется) раскрывают имена хостов в момент выпуска сертификата для них. Зрелое наблюдение: обнаружение активов — это в основном упражнение по разведке из открытых источников (OSINT): данные уже публичны, потому что сам факт выставления чего-либо в интернет оставляет публичный след (DNS-запись, сертификат, регистрацию ASN). Ты не взламываешь — ты читаешь след, оставленный организацией.

Перечисление поддоменов разворачивает каждый принадлежащий домен в его реальные резолвящиеся хосты. Покрывают это два взаимодополняющих метода. Пассивное перечисление вытягивает имена из источников, которые их уже записали — логи прозрачности сертификатов это тяжёлая артиллерия, потому что wildcard- или похостовый сертификат публично раскрывает имя хоста в момент выпуска; пассивные агрегаторы DNS и индексы поисковиков добавляют ещё. Активное перечисление резолвит кандидатные имена — брутфорс списка распространённых префиксов (dev, staging, api, vpn, admin) по DNS и проверка мисконфигурации передачи зоны, которая, если присутствует, отдаёт тебе всю зону разом. Пассивное тихое и дружелюбное к авторизации, потому что ты запрашиваешь сторонние датасеты, а не цель; активное шумнее и касается DNS цели напрямую, поэтому оно прочнее сидит внутри правил вовлечения проекта.

Shadow IT — это проход, который находит то, о чём не знает ни одна инвентаризация, и именно здесь прячутся настоящие находки. Shadow IT — это любая система, сервис или аккаунт, работающий вне санкционированной, отслеживаемой инвентаризации организации: SaaS, на который маркетинг подписался по корпоративной карте, личный облачный проект с реальными данными клиентов, оставшаяся ВМ подрядчика, поддомен, указывающий на снятый с обслуживания сервис (висящая DNS-запись, которая превращается в захват поддомена, когда кто-то перерегистрирует осиротевшую цель). Он существует, потому что выкатывать легко, а выводить из эксплуатации — ничья работа. Атакующий его обожает именно потому, что никто его не патчит, не мониторит и даже не помнит.

Как читать карту по-сеньорски

Результат перечисления — не трофейный список хостов, а приоритизированная картина выставленности. Зрелый инженер читает её, спрашивая по каждому обнаруженному активу: должен ли он быть выставлен наружу, кто им владеет и защищён ли он до уровня, которого заслуживают стоящие за ним данные? Опасный квадрант — «выставлен + непринадлежащий + незащищённый», и shadow IT живёт там по определению. Защитная выгода от того, что делаешь это наступательно, в том, что тебя вынуждают увидеть своё хозяйство так, как видит его атакующий — плоско, целиком и безразлично к твоей оргструктуре, — а не так, как тебе льстит схема архитектуры.

У перечисления есть и ось компромисса, которой зрелый инженер управляет осознанно: пассивные техники тихие, низкорисковые и не касаются цели, но выявляют лишь то, что уже где-то опубликовано; активные техники находят неопубликованные хосты, но касаются инфраструктуры цели и создают шум, способный сработать на детектирование — что на авторизованном проекте может быть ровно тем, что ты хочешь протестировать, а на небрежном это способ устроить инцидент.