اسکن سطح حمله خارجی (external attack surface) چیست، چه کسانی به آن نیاز دارند و هزینه آن چقدر است؟

سطح حمله (attack surface) دقیقاً چیست؟

سطح حمله مجموع همه نقاط ورودی است که مهاجم ممکن است برای رسیدن به شما امتحان کند. سطح حمله داخلی سیستم‌هایی را در بر می‌گیرد که از درون به آن‌ها دسترسی هست، مانند رایانه‌های کارکنان، شبکه داخلی و Active Directory. سطح حمله خارجی (external attack surface) بخشی است که هر کسی در اینترنت می‌تواند ببیند:

• دامنه‌ها و زیردامنه‌ها (از جمله رکوردهای فراموش‌شده‌ای مانند vpn.، mail.، test.، old-portal.)
• پورت‌های باز و سرویس‌هایی که روی آن‌ها اجرا می‌شوند (RDP، SSH، پایگاه‌های داده، مدیریت از راه دور)
• برنامه‌های وب، پنل‌های مدیریتی، نقاط پایانی API
• زیرساخت ایمیل: رکوردهای SPF، DKIM و DMARC، و ریسک جعل (spoofing) که نبود آن‌ها ایجاد می‌کند
• گواهی‌های TLS، از جمله گواهی‌های منقضی یا نادرست پیکربندی‌شده
• دامنه‌های lookalike / typosquat که از برند شما تقلید می‌کنند

بیشتر حملات نه با یک zero-day پیچیده، بلکه با یک مورد فراموش‌شده از همین فهرست آغاز می‌شوند: یک دستگاه VPN بدون patch، دامنه‌ای بدون DMARC، سرور آزمایشی‌ای که هیچ‌کس آن را به یاد ندارد.

اسکن چگونه انجام می‌شود و آیا می‌تواند به سیستم‌های ما آسیب بزند؟

دو لایه وجود دارد و تفاوت میان آن‌ها اهمیت دارد:

ارزیابی غیرفعال فقط منابع عمومی را می‌خواند: رکوردهای DNS، لاگ‌های Certificate Transparency، WHOIS و موتورهای جست‌وجو. حتی یک بسته هم به سیستم‌های شما فرستاده نمی‌شود، بنابراین به مجوز نیازی ندارد و هیچ خطری برای از کار افتادن سیستم‌ها ندارد. کانکتور (connector) Fjordex (MCP) در همین لایه کار می‌کند.

ارزیابی فعال اسکن پورت، تشخیص نسخه سرویس و تطبیق با CVE‌های شناخته‌شده را انجام می‌دهد؛ به سیستم‌های شما متصل می‌شود اما exploit اجرا نمی‌کند. این کار به مجوز کتبی نیاز دارد و بازه زمانی آزمون با هم توافق می‌شود.

فراتر از این دو، اعتبارسنجی نفوذ قرار دارد: اعتبارسنجی دستی و غیرمخرب یافته‌های بحرانی. این مرحله فقط با Rules of Engagement امضاشده و NDA انجام می‌شود و قیمت آن جداگانه تعیین می‌شود.

چه کسانی باید آن را انجام دهند؟

قاعده کوتاه: اگر چیزی در اینترنت در معرض دید دارید، سطح حمله خارجی (attack surface) دارید و کسی همین حالا در حال اسکن آن است. فوری‌ترین موارد عبارت‌اند از:

• شرکت‌های کوچک و متوسط (قبرس شمالی و ترکیه): بیشتر آن‌ها تیم IT ندارند، زیرساختشان میان ارائه‌دهندگان بیرونی پراکنده است و هیچ‌کس تصویر کامل را نمی‌بیند. رایج‌ترین یافته‌ها: به دلیل نبود DMARC می‌توان به نام شرکت ایمیل فاکتور جعلی فرستاد، RDP در اینترنت باز است و زیردامنه‌ها مالک مشخصی ندارند.
• دانشگاه‌ها: ده‌ها دانشکده، صدها زیردامنه، پروژه‌های دانشجویی، سرویس‌هایی که خاموش شده‌اند اما هنوز در DNS حضور دارند. سطح حمله بزرگ و پراکنده است؛ تهیه فهرست دارایی‌ها به‌تنهایی ارزشمند است.
• بیمارستان‌ها و درمانگاه‌ها: داده‌های بیماران، تعهدات KVKK/GDPR و عملیاتی که تحمل توقف ندارد. اینکه اسکن غیرفعال هیچ سیستمی را تحت تأثیر قرار نمی‌دهد، در اینجا مزیتی تعیین‌کننده است.
• شهرداری‌ها و نهادهای عمومی: خدمات شهروندی، اتکای زیاد به مکاتبات ایمیلی و ریسک اعتباری.
• سازمان‌هایی که با الزامات بیمه سایبری یا مناقصه روبه‌رو هستند: بیمه‌گران و مشتریان بزرگ به‌طور فزاینده‌ای گزارش ارزیابی خارجی مستقل درخواست می‌کنند.

هزینه آن چقدر است؟ قیمت‌های ArveNova

ارقام زیر قیمت‌های پایه به یورو و بدون مالیات بر ارزش افزوده هستند. قیمت نهایی پس از تأیید تعداد دارایی‌ها و محدوده در یک گفت‌وگوی تعیین دامنه، به‌صورت کتبی اعلام می‌شود. سطوح را می‌توان جداگانه یا با هم خریداری کرد؛ هر کار با دامنه مکتوب و مجوز امضاشده (ROE) آغاز می‌شود.

قیمت به چه چیزی بستگی دارد؟ در بخش خارجی، به تعداد دارایی‌های قابل مشاهده از اینترنت: دامنه‌ها، زیردامنه‌ها، IPهای عمومی و سرویس‌ها. تعداد کارکنان یا رایانه‌ها قیمت بخش خارجی را مستقیماً تعیین نمی‌کند؛ سطح ۳ (Active Directory) بر اساس تعداد کاربران و پردیس‌ها و سطح ۲ بر اساس تعداد پلتفرم‌ها قیمت‌گذاری می‌شود.

آزمون نفوذ: خدمتی جداگانه، خارج از سطوح بالا. سناریو، روش‌شناسی و تحویل‌دادنی‌ها برای هر پروژه به‌صورت کتبی تعریف می‌شوند؛ دامنه کار و قیمت در پیشنهاد قیمت تعیین می‌شود. درخواست قیمت.

پایش مداوم: پایش شبانه‌روزی از طریق عاملی (agent) که روی نقاط پایانی (endpoints) شما نصب می‌شود؛ خدمتی جدا از سطح ۴. دامنه کار، تاریخ شروع و قیمت در پیشنهاد قیمت تعیین می‌شود. درخواست قیمت.

گزارش چه شکلی دارد؟ یک یافته نمونه

هر یافته ساختار یکسانی دارد: عنوان، شدت (که از بردار CVSS محاسبه می‌شود و هرگز دستی تعیین نمی‌شود)، میزان اطمینان، شواهد، دیدگاه مهاجم (RED) و راه‌حل (BLUE). نمونه‌ای از قالب گزارش امضاشده (نه یک اجرای واقعی):

[F-03] مؤلفه وب قدیمی، Apache httpd 2.4.49
  شدت: بحرانی (CVSS 9.8، منبع اصلی: NVD)
  CVE: CVE-2021-41773 · CWE-22
  اطمینان: CONFIRMED · دارایی: https://target.example:443
  RED: پیمایش مسیر (path traversal)، امکان خواندن فایل از راه دور.
  BLUE: به نسخه 2.4.51 یا بالاتر ارتقا دهید.

تطبیق CVE با مقایسه نسخه سرویس شناسایی‌شده با یک مجموعه داده CVE مبتنی بر NVD انجام می‌شود؛ تطبیق‌هایی که به یک بازه نسخه متکی‌اند با برچسب «تأییدنشده» جدا نگه داشته می‌شوند و دارایی‌هایی که پشت میزبانی اشتراکی یا CDN قرار دارند با CVE تطبیق داده نمی‌شوند. نمونه دوم در ادامه از یک بررسی امنیت ایمیل در کانکتور (connector) Fjordex آمده است:

{
  "id": "email.dmarc_missing",
  "title": "رکورد DMARC وجود ندارد",
  "severity": "high",
  "evidence": "هیچ رکورد TXT برای _dmarc.example-company.com یافت نشد.",
  "recommendation": "گزارش‌گیری را با p=none آغاز کنید، پس از 2-4 هفته به p=quarantine و سپس به p=reject بروید.",
  "category": "email"
}

معنای همین یک خط: در حال حاضر هر کسی می‌تواند از accounts@example-company.com برای مشتریان شما فاکتور جعلی بفرستد و سرورهای ایمیل گیرنده آن را رد نمی‌کنند. راه‌حل فقط یک رکورد DNS است، اما اگر کسی به آن اشاره نکند، سال‌ها باز می‌ماند.

هر چند وقت یک بار باید تکرار شود؟

سطح حمله خارجی (attack surface) ثابت نیست: یک اشتراک SaaS جدید، زیردامنه‌ای که برای یک کمپین بازاریابی باز شده، تغییر ارائه‌دهنده میزبانی، همه این‌ها سطح را تغییر می‌دهند. توصیه عملی: سالی یک ارزیابی کامل (سطح ۱) و در فاصله میان آن‌ها پایش delta ماهانه (سطح ۴). برای سازمان‌هایی با سطح حمله بزرگ مانند بیمارستان‌ها و دانشگاه‌ها، پایش ماهانه از یک اسکن یک‌باره ارزشمندتر است، زیرا مشکلات معمولاً در مواردی ظاهر می‌شوند که «تازه باز شده‌اند».