Hva er attack surface management? Forstå angrepsflaten.

Definisjon: Hva er angrepsflaten?

Angrepsflaten omfatter alle punkter en angriper kan angripe fra: domener og subdomener, offentlige IP-adresser, åpne porter, webapplikasjoner, skytjenester, tilganger som VPN og fjernskrivebord, men også brukerkontoer og rettigheter. Hvert nytt system, hver skytjeneste og hvert glemte testsystem gjør den større.

Attack surface management gjør denne flaten synlig – ikke én gang, men løpende, fordi den endrer seg hver dag.

Ekstern og intern angrepsflate (EASM)

Man skiller mellom den eksterne angrepsflaten – alt som kan nås fra internett – og den interne angrepsflaten i eget nettverk. External attack surface management (EASM) konsentrerer seg om den eksterne delen og jobber utenfra, uten agenter: Det tar utgangspunkt i et domene eller et firmanavn og finner tilknyttede eiendeler via DNS, sertifikater, IP-områder og egne skanninger.

Nettopp eksternt dukker det ofte opp systemer som ikke står i noe inventar: gamle kampanjesider, testmiljøer, skytjenester bestilt av fagavdelinger (skygge-IT).

Slik foregår attack surface management

• Oppdage: finne eiendeler fra offentlige kilder og egne skanninger.
• Inventarisere: knytte ansvarlige, forretningsverdi og opprinnelse til hver eiendel.
• Vurdere: kontrollere sårbarheter, feilkonfigurasjoner og tilgjengelighet.
• Prioritere: sortere etter reell risiko, ikke etter antall funn.
• Overvåke: varsle umiddelbart om endringer som nye porter eller sertifikater som utløper.

Hvorfor ASM er viktig for NIS2 og ISO 27001

Uten et oppdatert inventar kan risiko verken vurderes eller håndteres. ISO/IEC 27001 krever et inventar over verdier (vedlegg A 5.9), NIS2 en forsvarlig risikostyring inkludert håndtering av sårbarheter. ASM gir det tekniske grunnlaget for dette og dokumentasjonen på at inventaret vedlikeholdes løpende.

ASM, sårbarhetshåndtering og exposure management

ASM svarer på spørsmålet «Hva har vi?». Sårbarhetshåndtering spør «Hvor er disse systemene sårbare?». Exposure management kobler de to og spør «Hvilke av disse sårbarhetene fører faktisk til våre kritiske systemer?» – for eksempel via angrepsveier. Sammen utgjør de kjernen i Continuous Threat Exposure Management (CTEM).