Большинство команд думают о управление поверхностью атаки как сканирование видимого поверхность атаки, незащищённые домены, открытые порты и неправильно настроенные сервисы. Это традиционная область применения управление внешними поверхностями атак. Однако в современном DevSecOps, настоящие риски находятся глубже: в коде, зависимостях и pipelines. Например, наш пост на Глубокое погружение в CI/CD PipelineУязвимости объясняет, как отравлен pipelines расширить поверхность атаки.
В этом руководстве мы объясним управление поверхностью атаки, показать, почему представление периметра неполное, и подчеркнуть, как разработчики могут уменьшить свои поверхность атаки на протяжении всего жизненного цикла программного обеспечения. Более того, мы рассмотрим, как анализ поверхности атаки дополняет это, расширяя видимость pipelineи код.
Что такое управление поверхностью атак?
Проще говоря, управление поверхностью атаки (ASM) это процесс обнаружения, мониторинга и ограничения всего, что может использовать злоумышленник. поверхность атаки не только общедоступные серверы, но и:
- API и скрытые конечные точки
- Зависимости с открытым исходным кодом
- Секреты в репозиториях или IaC файлов
- CI/CD pipelineи рабочие процессы
Традиционно управление поверхностью атаки ориентированы только на внешние активы, такие как диапазоны IP-адресов, записи DNS или облачные хранилища. Однако ограничение его только тем, что является общедоступным, оставляет пробелы. Современный управление внешними поверхностями атак инструменты не могут видеть небезопасные IaC шаблоны, уязвимые пакеты или встроенные секреты, но эти уязвимости расширяют поверхность атаки каждый день.
👉 Для справки см. CISРуководство по управлению поверхностью атаки киберактивов и Статья NIST об управлении поверхностью атаки.
Почему классический подход неэффективен
Классические инструменты приносят пользу: они находят забытые поддомены, обнаруживают открытые порты и выделяют рискованные облачные сервисы. Тем не менее, этот внешний вид полезен, но ограничен.
Современная поставка программного обеспечения несет скрытые риски, которые расширяют поверхность атаки:
- Уязвимые зависимости с открытым исходным кодом с известными CVE
- Неправильно настроенные файлы Terraform или Kubernetes, открывающие доступ к ненужным службам
- Секреты, оставленные в
docker-compose.ymlили история Git - Небезопасные действия GitHub или задания Jenkins могут быть взломаны злоумышленниками
Пример рискованного кода (манифест Kubernetes):
Даже эта небольшая ошибка конфигурации расширяет поверхность атаки. В случае компрометации злоумышленник получает права root на хост-узле.
Пример субъекта угрозы:
Злоумышленники часто сканируют публичные репозитории Git. Например, утечка ключа AWS внутри docker-compose.yml может позволить им войти в вашу учетную запись в облаке, внедрить вредоносное ПО или украсть конфиденциальные данные.
Расширение охвата на код и Pipelines
Вот как команды могут расширить управление поверхностью атаки в SDLC:
- зависимости: Уязвимые библиотеки увеличивают поверхность атаки, даже если сети выглядят безопасными.
- Инфраструктура как код: Небезопасные шаблоны создают новые точки входа.
- Секреты: Жестко запрограммированные токены мгновенно расширяют поверхность атаки в случае утечки.
- CI/CD Pipelines: Скомпрометированные рабочие процессы могут передать процесс сборки злоумышленникам.
«Короче говоря, управление внешними поверхностями атак отображает то, что находится снаружи. В то же время комплексный подход охватывает также внутренний код и pipelines. Этот более широкий взгляд тесно связан с будущим безопасности цепочки поставок, как мы обсуждаем в Путь вперед: прогнозы на будущее SSCS в DevOps.
Сравнение: периметральное управление атаками и полное управление поверхностью атаки
| Аспект | Периметр ASM (внешний) | Управление поверхностью атаки (современное) | Почему это имеет значение |
|---|---|---|---|
| Прозрачность | Только публичная поверхность атаки | Внутренняя + внешняя поверхность атаки | Полный обзор позволяет выявить риски, которые не учитываются традиционными инструментами. |
| Обнаруженные риски | Поддомены, открытые сервисы | Уязвимые библиотеки, секреты, IaC неправильные конфигурации | Внутренние риски являются основными целями атак на цепочки поставок. |
| Актуальность DevSecOps | Сосредоточьтесь на операциях и ИТ | Напрямую связан с рабочими процессами разработчиков | Переносит безопасность в код и pipelines. |
| предотвращение | Исправление уязвимых активов | Сжать поверхность атаки от начала до конца с помощью guardrails | Более быстрое исправление ошибок сокращает затраты и предотвращает простои производства. |
Как Xygeni усиливает управление поверхностью атак
Ксигени выходит за рамки управление внешними поверхностями атак с полным покрытием. Фактически, он обеспечивает защиту на каждом уровне SDLC:
- SAST и SCA: Обнаружьте уязвимости в коде и зависимостях, которые можно эксплуатировать.
- Секреты безопасности: Выявляйте, отзывайте и автоматически восстанавливайте раскрытые учетные данные.
- IaC Сканирование: Найдите небезопасные конфигурации Terraform, Kubernetes и Docker.
- CI/CD Безопасность.: Блокируйте небезопасные рабочие процессы и обеспечивайте их соблюдение guardrails in pipelines.
- ASPM Платформа: Обеспечьте единую видимость репозиториев, сборок и артефактов.
При таком подходе управление поверхностью атак сводится не только к мониторингу доменов, но и к сокращению поверхности атак на протяжении всего жизненного цикла DevSecOps. Более того, оно напрямую связано с современными ASPM практики, как подробно описано в нашем посте За пределами управления уязвимостями: расширяющиеся горизонты ASPM.
Что вы получите с бесплатной пробной версией
- Мгновенное сканирование репозиториев и pipelines
- Четкая карта внутреннего и внешнего поверхность атаки
- Guardrails которые автоматически блокируют рискованные слияния
Следовательно, Начать бесплатную пробную версию Xygeni и получите полное, сквозное представление о поверхности атаки за считанные минуты. Кроме того, вы сможете точно увидеть, где ваш код, pipelineи инфраструктура будут раскрыты до того, как их обнаружат злоумышленники.
Заключение
В заключение, если вы сосредоточены только на ресурсах периметра, ваше управление поверхностью атаки будет неполным. Настоящий DevSecOps требует управления всей поверхностью атаки: внешним воздействием, а также рисками, связанными с кодом, зависимостями и pipelines.
Более того, с помощью Xygeni команды могут выйти за рамки управления внешними поверхностями атак. Они не просто контролируют периметр, но и сокращают поверхность атак везде, где разрабатывается и поставляется программное обеспечение.
Часто задаваемые вопросы по управлению поверхностью атаки
Какую поверхность атаки защищает NAC?
Система контроля доступа к сети (NAC) защищает поверхность атаки на уровне сети, контролируя, какие устройства и пользователи могут подключаться. Однако она снижает уязвимость только со стороны несанкционированных устройств и не решает проблемы, связанные с рисками в коде, зависимостях или CI/CD pipelineСледовательно, NAC следует рассматривать лишь как один из уровней защиты.
Как еще называется поверхность атаки?
Поверхность атаки иногда называют «цифровым следом» или «зоной уязвимости». Кроме того, в DevSecOps этот след включает в себя не только серверы, но и API, репозитории, зависимости и т. д. pipeline конфигурации.
Какова поверхность атаки социальной инженерии?
В социальной инженерии поверхность атаки — это человеческий фактор, а не технические аспекты. Она включает в себя сотрудников, подрядчиков и партнеров, которых можно обманом заставить поделиться доступом или конфиденциальными данными. Более того, обучение, имитация фишинговых атак и многофакторная аутентификация значительно снижают этот тип уязвимости.
Что такое управление внешними поверхностями атак?
Внешнее управление поверхностью атаки (EASM) обнаруживает и отслеживает все, что видно в интернете: домены, IP-адреса, порты, облачные хранилища и уязвимости SaaS. Однако, несмотря на свою полезность, EASM не охватывает внутренние риски, такие как... IaC неправильные конфигурации, секреты в репозиториях или небезопасные CI/CD pipelineВ результате этого его следует сочетать с современным внутренним сканированием.
Что такое поверхность атаки в кибербезопасности?
В кибербезопасности поверхность атаки — это каждая возможная точка входа, которую может использовать злоумышленник: от сетевых сервисов до исходного кода, сторонних библиотек и учетных записей пользователей. Фактически, управление ею означает постоянное выявление и уменьшение этих уязвимостей для минимизации риска.
Как связаны векторы атак и поверхности атак?
Поверхность атаки — это множество возможных точек входа. Вектор атаки — это конкретный путь, который злоумышленник использует для эксплуатации одной из них. Например, утечка ключа API расширяет поверхность атаки, а подбор учетных данных к этому API — это вектор атаки. Следовательно, уменьшение поверхности напрямую ограничивает доступные векторы.
Что такое мониторинг поверхности атаки?
Мониторинг поверхности атаки — это непрерывный процесс отслеживания новых уязвимостей, таких как вновь открытый порт, утечка секретных данных или обновление зависимостей, приводящее к появлению уязвимостей. Более того, это ключевая часть современного управления поверхностью атаки, поскольку угрозы постоянно развиваются.
