O que é attack surface management? Entender a superfície de ataque.

Definição: o que é a superfície de ataque?

A superfície de ataque abrange todos os pontos por onde um invasor pode começar: domínios e subdomínios, endereços IP públicos, portas abertas, aplicações web, serviços em nuvem, acessos como VPN e área de trabalho remota, mas também contas de usuário e permissões. Cada novo sistema, cada serviço em nuvem e cada sistema de testes esquecido a amplia.

O attack surface management torna essa superfície visível – não uma única vez, mas continuamente, porque ela muda todos os dias.

Superfície de ataque externa e interna (EASM)

Distingue-se a superfície de ataque externa – tudo o que é acessível pela internet – e a superfície de ataque interna, na própria rede. O External Attack Surface Management (EASM) se concentra na parte externa e trabalha de fora, sem agentes: parte de um domínio ou do nome de uma empresa e encontra ativos relacionados por meio de DNS, certificados, faixas de IP e varreduras próprias.

Justamente no ambiente externo aparecem com frequência sistemas que não constam de nenhum inventário: páginas de campanhas antigas, ambientes de teste, serviços em nuvem contratados por departamentos (shadow IT).

Como funciona o attack surface management

• Descobrir: identificar ativos a partir de fontes públicas e varreduras próprias.
• Inventariar: atribuir a cada ativo responsáveis, valor para o negócio e origem.
• Avaliar: verificar vulnerabilidades, configurações incorretas e acessibilidade.
• Priorizar: ordenar pelo risco real, não pelo número de achados.
• Monitorar: alertar imediatamente sobre mudanças, como novas portas ou certificados prestes a expirar.

Por que o ASM é importante para NIS2 e ISO 27001

Sem um inventário atualizado, não é possível avaliar nem tratar riscos. A ISO/IEC 27001 exige um inventário de ativos (Anexo A 5.9), e a NIS2, uma gestão de riscos adequada que inclua o tratamento de vulnerabilidades. O ASM fornece a base técnica para isso e a evidência de que o inventário é mantido continuamente. Para empresas que também atuam no Brasil, o mesmo inventário ajuda a sustentar as medidas de segurança exigidas pela LGPD.

ASM, gestão de vulnerabilidades e gerenciamento de exposição

O ASM responde à pergunta „O que temos?“. A gestão de vulnerabilidades pergunta „Onde esses sistemas estão vulneráveis?“. O gerenciamento de exposição une as duas coisas e pergunta „Qual dessas vulnerabilidades realmente leva aos nossos sistemas críticos?“ – por exemplo, por meio de caminhos de ataque. Juntos, eles formam o núcleo do Continuous Threat Exposure Management (CTEM).