Vad är Attack Surface Management? Förstå attackytan.

Definition: Vad är attackytan?

Attackytan omfattar alla punkter där en angripare kan sätta in en attack: domäner och subdomäner, publika IP-adresser, öppna portar, webbapplikationer, molntjänster, åtkomstvägar som VPN och fjärrskrivbord, men också användarkonton och behörigheter. Varje nytt system, varje molntjänst och varje bortglömt testsystem gör den större.

Attack Surface Management synliggör denna yta – inte en gång, utan löpande, eftersom den förändras varje dag.

Extern och intern attackyta (EASM)

Man skiljer mellan den externa attackytan – allt som kan nås från internet – och den interna attackytan i det egna nätet. External Attack Surface Management (EASM) fokuserar på den externa delen och arbetar utifrån, utan agenter: Utgångspunkten är en domän eller ett företagsnamn, och anslutna tillgångar hittas via DNS, certifikat, IP-intervall och egna skanningar.

Just externt dyker det ofta upp system som inte finns i någon inventarie: gamla kampanjsidor, testmiljöer, molntjänster som verksamheten själv har beställt (skugg-IT).

Så går Attack Surface Management till

• Identifiera: hitta tillgångar från publika källor och egna skanningar.
• Inventera: koppla ansvariga, affärsvärde och ursprung till varje tillgång.
• Bedöma: kontrollera sårbarheter, felkonfigurationer och nåbarhet.
• Prioritera: sortera efter faktisk risk, inte efter antal fynd.
• Övervaka: rapportera förändringar som nya portar eller certifikat som snart löper ut direkt.

Därför är ASM viktigt för NIS2 och ISO 27001

Utan en aktuell inventarie går risker varken att bedöma eller hantera. ISO/IEC 27001 kräver en förteckning över tillgångar (bilaga A 5.9), NIS2 en lämplig riskhantering inklusive hantering av sårbarheter. ASM levererar den tekniska grunden och beläggen för att inventariet underhålls löpande.

ASM, sårbarhetshantering och Exposure Management

ASM besvarar frågan ”Vad har vi?”. Sårbarhetshanteringen frågar ”Var är dessa system sårbara?”. Exposure Management förenar båda och frågar ”Vilka av sårbarheterna leder faktiskt till våra kritiska system?” – till exempel via angreppsvägar. Tillsammans utgör de kärnan i Continuous Threat Exposure Management (CTEM).