Что такое сканирование внешней поверхности атаки (attack surface), кому оно нужно и сколько оно стоит?

Что такое поверхность атаки?

Поверхность атаки (attack surface) представляет собой совокупность всех точек входа, через которые злоумышленник может попытаться до вас добраться. Внутренняя поверхность атаки охватывает системы, доступные изнутри: компьютеры сотрудников, внутреннюю сеть и Active Directory. Внешняя поверхность атаки является той частью, которую видит любой пользователь интернета:

• Домены и поддомены (включая забытые записи вроде vpn., mail., test., old-portal.)
• Открытые порты и работающие на них сервисы (RDP, SSH, базы данных, удалённое управление)
• Веб-приложения, панели администрирования, конечные точки API
• Почтовая инфраструктура: записи SPF, DKIM и DMARC, а также риск подделки отправителя (spoofing) при их отсутствии
• TLS-сертификаты, в том числе просроченные или неправильно настроенные
• Lookalike / typosquat-домены, имитирующие ваш бренд

Большинство атак начинается не со сложной уязвимости zero-day, а с забытого пункта из этого списка: VPN-устройства без нужного patch-обновления, домена без DMARC, тестового сервера, о котором никто не помнит.

Как проводится сканирование и может ли оно навредить нашим системам?

Существует два уровня, и разница между ними важна:

Пассивная оценка использует только открытые источники: DNS-записи, журналы Certificate Transparency, WHOIS, поисковые системы. К вашим системам не отправляется ни одного пакета, поэтому разрешение не требуется, а риск простоя равен нулю. Коннектор Fjordex (MCP) работает именно на этом уровне.

Активная оценка включает сканирование портов, определение версий сервисов и сопоставление с известными CVE; она подключается к вашим системам, но не запускает эксплойты (exploit). Для неё требуется письменное разрешение, а окно тестирования согласуется совместно.

Следующий шаг: проверка на проникновение, то есть ручная неразрушающая проверка критических находок. Этот этап выполняется только при подписанных Rules of Engagement (правилах проведения работ) и NDA и оплачивается отдельно.

Кому это нужно?

Простое правило: если у вас хоть что-то доступно из интернета, у вас есть внешняя поверхность атаки (attack surface), и кто-то уже её сканирует. Наиболее срочные случаи:

• МСБ (Северный Кипр и Турция): У большинства нет IT-отдела, инфраструктура распределена между внешними подрядчиками, и целостной картины не видит никто. Самые частые находки: из-за отсутствия DMARC от имени компании можно рассылать поддельные счета, RDP открыт в интернет, у поддоменов нет понятного владельца.
• Университеты: Десятки факультетов, сотни поддоменов, студенческие проекты, сервисы, которые давно отключены, но всё ещё остаются в DNS. Поверхность атаки большая и разрозненная; составление перечня активов ценно уже само по себе.
• Больницы и клиники: Данные пациентов, обязательства по KVKK/GDPR и процессы, не допускающие простоя. Здесь решающим преимуществом становится то, что пассивное сканирование не затрагивает ни одной системы.
• Муниципалитеты и государственные органы: Услуги для граждан, большой объём переписки по электронной почте и репутационный риск.
• Организации, к которым предъявляют требования киберстраховщики или организаторы тендеров: Страховщики и крупные клиенты всё чаще запрашивают независимый отчёт о внешней оценке.

Сколько это стоит? Цены ArveNova

Ниже указаны стартовые цены в EUR, без НДС. Окончательная цена сообщается письменно после того, как количество активов и объём подтверждены на созвоне. Уровни можно заказать отдельно или вместе; каждая работа начинается с письменного объёма и подписанного разрешения (ROE).

От чего зависит цена? На внешней стороне, от количества активов, видимых из интернета: домены, поддомены, публичные IP и сервисы. Численность сотрудников или компьютеров напрямую не определяет внешнюю цену; Уровень 3 (Active Directory) оценивается по числу пользователей и кампусов, Уровень 2 по числу платформ.

Тест на проникновение: отдельная услуга вне перечисленных уровней. Сценарий, методология и результаты письменно определяются для каждого проекта; объём и цена указываются в предложении. Запросить предложение.

Непрерывный мониторинг: круглосуточный мониторинг через агент, установленный на ваших конечных устройствах (endpoints), отдельная от Уровня 4 услуга. Объём, дата начала и цена указываются в предложении. Запросить предложение.

Как выглядит отчёт? Пример находки

Каждая находка имеет одинаковую структуру: заголовок, критичность (рассчитывается по вектору CVSS и никогда не назначается вручную), уровень достоверности, доказательства, взгляд атакующего (RED) и способ устранения (BLUE). Образец формата из подписанного отчёта (не реальный запуск):

[F-03] Устаревший веб-компонент, Apache httpd 2.4.49
  Критичность: критическая (CVSS 9.8, основной источник NVD)
  CVE: CVE-2021-41773 · CWE-22
  Достоверность: CONFIRMED · Актив: https://target.example:443
  RED: Обход пути (path traversal), условия для удалённого чтения файлов.
  BLUE: Обновить до версии 2.4.51 или новее.

Сопоставление с CVE выполняется путём сравнения обнаруженной версии сервиса с набором данных CVE на основе NVD; совпадения, основанные на диапазоне версий, выносятся отдельно с пометкой «не подтверждено», а активы на общем хостинге или за CDN с CVE не сопоставляются. Второй пример ниже взят из проверки безопасности почты в коннекторе Fjordex:

{
  "id": "email.dmarc_missing",
  "title": "Нет записи DMARC",
  "severity": "high",
  "evidence": "Для _dmarc.example-company.com не найдена TXT-запись.",
  "recommendation": "Начните со сбора отчётов при p=none, через 2-4 недели перейдите на p=quarantine, затем на p=reject.",
  "category": "email"
}

Что означает эта единственная строка: прямо сейчас кто угодно может отправлять вашим клиентам поддельные счета с адреса accounts@example-company.com, и принимающие почтовые серверы их не отклонят. Исправление сводится к одной DNS-записи, но если на проблему никто не укажет, она остаётся открытой годами.

Как часто нужно повторять сканирование?

Внешняя поверхность атаки (attack surface) не статична: новая подписка на SaaS, поддомен для маркетинговой кампании, смена хостинг-провайдера, и всё это её меняет. Практический совет: одна полная оценка в год (Уровень 1), а между ними ежемесячный delta-мониторинг (Уровень 4). Для больших поверхностей, как у больниц и университетов, ежемесячный мониторинг ценнее разового сканирования, потому что проблемы обычно возникают в том, что было «недавно открыто».