O que ninguém se lembra de ter publicado
Quase todas as brechas começam por algo que a organização não sabia que estava exposto: um ambiente de testes com um endereço público, um subdomínio que aponta para um serviço desativado, um painel de administração aberto «temporariamente», uma base de dados acessível da internet por um erro de configuração.
Ninguém os protegeu porque ninguém os tinha na lista. Para um atacante, pelo contrário, são o primeiro que aparece.
Olhar de fora
O inventário de superfície faz-se do ponto de vista do atacante, não a partir da documentação:
- Endereços públicos atribuídos em cada cloud e na infraestrutura própria.
- Domínios e subdomínios, incluindo os que apontam para serviços que já não existem.
- Portas e serviços que respondem da internet.
- Certificados emitidos para nomes da organização, que revelam sistemas de que às vezes ninguém se lembra.
- Credenciais divulgadas em repositórios públicos ou em fugas conhecidas.
O encontrado compara-se com o que se acredita estar exposto. A diferença é a lista de trabalho mais urgente (tal como no levantamento do herdado, mas a olhar para fora).
Reduzir antes de proteger
Para cada elemento exposto, a primeira pergunta não é «como o protejo?», mas «tem de estar exposto?». Muitas vezes a resposta é não:
- Os ambientes de testes e os painéis de administração não se publicam; acede-se a eles por um acesso privado.
- Os subdomínios órfãos eliminam-se.
- O que deve ser público passa pela zona exposta, com a sua proteção, como no desenho por zonas.
Um inventário que não envelhece
A superfície muda cada vez que alguém implementa algo. Por isso o inventário não é um exercício anual, mas uma verificação periódica e automática que avisa quando aparece algo novo exposto que não estava previsto.
Saber o que há que proteger permite o passo seguinte: decidir com que controlos, e apoiar-se no que já existe em vez de o inventar.
Como o aplicamos: Cibersegurança.