¿Qué es Attack Surface Management? Entender la superficie de ataque.

Definición: ¿qué es la superficie de ataque?

La superficie de ataque abarca todos los puntos en los que un atacante puede actuar: dominios y subdominios, direcciones IP públicas, puertos abiertos, aplicaciones web, servicios en la nube, accesos como VPN y escritorio remoto, pero también cuentas de usuario y permisos. Cada sistema nuevo, cada servicio en la nube y cada sistema de pruebas olvidado la amplía.

Attack Surface Management hace visible esa superficie, no una sola vez sino de forma continua, porque cambia a diario.

Superficie de ataque externa e interna (EASM)

Se distingue entre la superficie de ataque externa, todo lo accesible desde Internet, y la superficie de ataque interna en la propia red. External Attack Surface Management (EASM) se centra en la parte externa y trabaja desde fuera, sin agentes: parte de un dominio o de un nombre de empresa y encuentra activos relacionados a través de DNS, certificados, rangos IP y escaneos propios.

Precisamente en el exterior suelen aparecer sistemas que no figuran en ningún inventario: antiguas webs de campañas, entornos de pruebas, servicios en la nube contratados por los departamentos (TI en la sombra).

Cómo funciona Attack Surface Management

• Detectar: identificar activos a partir de fuentes públicas y escaneos propios.
• Inventariar: asignar a cada activo responsables, valor de negocio y origen.
• Evaluar: revisar vulnerabilidades, configuraciones erróneas y accesibilidad.
• Priorizar: ordenar según el riesgo real, no según el número de hallazgos.
• Supervisar: notificar de inmediato cambios como nuevos puertos o certificados a punto de caducar.

Por qué ASM es importante para NIS2 e ISO 27001

Sin un inventario actualizado, los riesgos no pueden evaluarse ni tratarse. ISO/IEC 27001 exige un inventario de activos (anexo A 5.9) y NIS2 una gestión de riesgos adecuada que incluya la gestión de vulnerabilidades. ASM aporta la base técnica para ello y la prueba de que el inventario se mantiene de forma continua.

ASM, gestión de vulnerabilidades y Exposure Management

ASM responde a la pregunta «¿Qué tenemos?». La gestión de vulnerabilidades pregunta «¿Dónde son vulnerables estos sistemas?». Exposure Management une ambas y pregunta «¿Cuáles de estas vulnerabilidades llevan realmente a nuestros sistemas críticos?», por ejemplo a través de rutas de ataque. Juntas forman el núcleo de Continuous Threat Exposure Management (CTEM).