Che cos'è l'attack surface management? Capire la superficie di attacco.

Definizione: che cos'è la superficie di attacco?

La superficie di attacco comprende tutti i punti da cui un attaccante può partire: domini e sottodomini, indirizzi IP pubblici, porte aperte, applicazioni web, servizi cloud, accessi come VPN e desktop remoto, ma anche account utente e autorizzazioni. Ogni nuovo sistema, ogni servizio cloud e ogni sistema di test dimenticato la amplia.

L'attack surface management rende visibile questa superficie, non una tantum ma in modo continuo, perché cambia ogni giorno.

Superficie di attacco esterna e interna (EASM)

Si distingue tra superficie di attacco esterna, cioè tutto ciò che è raggiungibile da Internet, e superficie di attacco interna nella propria rete. L'External Attack Surface Management (EASM) si concentra sulla parte esterna e lavora dall'esterno, senza agenti: parte da un dominio o dal nome dell'azienda e individua gli asset collegati tramite DNS, certificati, intervalli IP e scansioni proprie.

Proprio all'esterno emergono spesso sistemi che non figurano in alcun inventario: vecchie pagine di campagne, ambienti di test, servizi cloud attivati dai reparti (shadow IT).

Come funziona l'attack surface management

• Individuare: rilevare gli asset da fonti pubbliche e scansioni proprie.
• Inventariare: assegnare a ogni asset responsabili, valore per il business e origine.
• Valutare: verificare vulnerabilità, configurazioni errate e raggiungibilità.
• Prioritizzare: ordinare in base al rischio reale, non al numero di risultati.
• Monitorare: segnalare subito modifiche come nuove porte o certificati in scadenza.

Perché l'ASM è importante per NIS2 e ISO 27001

Senza un inventario aggiornato i rischi non si possono né valutare né trattare. La ISO/IEC 27001 richiede un inventario degli asset (Allegato A 5.9), la NIS2 un'adeguata gestione del rischio, compresa la gestione delle vulnerabilità. L'ASM ne fornisce la base tecnica e la prova che l'inventario viene mantenuto aggiornato.

ASM, gestione delle vulnerabilità ed exposure management

L'ASM risponde alla domanda «Che cosa abbiamo?». La gestione delle vulnerabilità si chiede «Dove sono vulnerabili questi sistemi?». L'exposure management unisce le due cose e si chiede «Quali di queste vulnerabilità portano davvero ai nostri sistemi critici?», ad esempio tramite i percorsi di attacco. Insieme costituiscono il nucleo del Continuous Threat Exposure Management (CTEM).