Uzbrukuma virsmas pārvaldība: vai organizācija patiešām zina, kas tai pieder?

OWASP uzbrukuma virsmas analīzē aplūko sistēmas ieejas un izejas punktus, aizsardzības mehānismus, vērtīgos datus un piekļuves lomas. Tā nav tikai atvērtu portu kolekcija: būtiska var būt arī autentifikācijas forma, failu augšupielādes funkcija, API operācija vai administratīvā darbplūsma S03. Publiskajam internetam redzama lietojumprogramma var būt tehniski labi aizsargāta, bet citai sistēmai būtisks risks rodas caur nepareizi definētām pilnvarām. Savukārt iekšējā uzbrukuma virsma ir plašāks jautājums, ko nevar pilnībā novērtēt ar skatu tikai no interneta.

Šajā rakstā galvenā uzmanība pievērsta ārējai uzbrukuma virsmai: domēniem, publiskām IP adresēm, internetu sasniedzošiem servisiem, lietojumprogrammām, API un saistītajai mākoņinfrastruktūrai. Tas neaptver visu uzņēmuma iekšējo uzbrukuma ceļu kartēšanu, darbinieku sociālās inženierijas riskus vai pilnu penetrācijas testēšanu. Šāds tvērums palīdz nepārvērst katru drošības disciplīnu vienā neskaidrā terminā.

Jānošķir arī aktīvs, ekspozīcija un ievainojamība. Aktīvs ir uzskaitāma organizācijas darbības sastāvdaļa. Ekspozīcija raksturo, kas un ar kādiem nosacījumiem var tai piekļūt. Ievainojamība ir konkrēts drošības trūkums, ko iespējams novērtēt ar atsevišķu metodi. Viena publiska IP adrese var apkalpot daudzus loģiskus servisus; savukārt viens domēns var atrisināties uz koplietota CDN pakalpojuma adresēm, kuras uzņēmumam nepieder. OWASP Web Security Testing Guide atsevišķi uzsver domēnu, virtuālo resursdatoru, nestandarta portu un sertifikātu izpēti, jo vienkāršs IP adrešu saraksts nevar korekti attēlot mūsdienīgu mitināšanas arhitektūru S04.

Aktīvu reģistru parasti veido no administratīvajiem avotiem: iepirkumiem, mākoņkontiem, konfigurācijas pārvaldības datubāzes, virtualizācijas platformām un sistēmu īpašnieku informācijas. Katrs avots redz tikai daļu no realitātes. Mākoņkonts var uzskaitīt piegādātāja resursus, bet ne uzņēmuma vārdā ārēja partnera uzturētu lietojumprogrammu. DNS zona atklāj ierakstus, taču pati par sevi nesniedz atbildi, vai mērķa serviss vēl darbojas vai kas to administrē. Sertifikātu caurskatāmības reģistros savukārt var atrast vēsturiskas nosaukumu pēdas, kas ne vienmēr atbilst aktuālām, organizācijai piederošām sistēmām.

Inventāra nepilnības veidojas arī pavisam ikdienišķi. Izstrādātāji uz laiku palaiž demonstrācijas vidi; mārketinga komanda pieslēdz jaunu ārpakalpojumu; uzņēmums pārņem cita uzņēmuma infrastruktūru; vecā sistēma paliek darbā, jo tai vēl piesaistīts viens integrācijas klients. Ne vienmēr ir viens cilvēks, kurš redzētu šos notikumus kopā. NIST CSF 2.0 tieši paredz gan ārējo pakalpojumu inventāru, gan aktīvu dzīvescikla pārvaldību, kas dod pamatu pārbaudīt, vai reģistrs tiek atjaunināts arī pēc izmaiņām, ne tikai sākotnējā ieviešanā S02.

Ja uzņēmums saka, ka uzskaitījis visas internetā pieejamās sistēmas, es jautātu, ar ko šis apgalvojums ir pārbaudīts neatkarīgi no paša inventāra. Bez salīdzinājuma ar otru atklāšanas metodi tas ir apgalvojums par reģistra saturu, ne pierādījums tā pilnīgumam. Arī divu rīku sakritība vēl nedod absolūtu garantiju: abi var balstīties vienās datu kopās vai nepamanīt īslaicīgas ekspozīcijas.

Ārējās ekspozīcijas atklāšanai izmanto pasīvus un aktīvus signālus. Pasīvie signāli ietver publiskus DNS ierakstus, sertifikātu metadatus, paša uzņēmuma publiski dokumentētas adreses un citus indeksētus novērojumus. Aktīvā pārbaude var apliecināt servisa pašreizējo sasniedzamību vai atbildi, tomēr jebkuram skenējumam jābūt tiesiski atļautam, jāievēro tvērums, slodzes ierobežojumi un trešo personu infrastruktūras robežas. CISA apraksta vairākas atklāšanas metodes un rīkus, bet to pieminēšana pati par sevi nenozīmē, ka konkrēts atradums ir pietiekami droši atribūts vienam uzņēmumam S01.

Pieņemsim, ka atrasta adrese legacy.example.invalid. Tā ir ilustratīva, ne reāla mērķa adrese. Nosaukums liek domāt par vecu sistēmu, taču no nosaukuma vien nav iespējams noteikt tās īpašnieku, darbības statusu vai risku. Korektā pārbaudē vispirms fiksētu avotu un novērošanas laiku; pēc tam DNS sasaisti, sertifikāta informāciju, iespējamu mākoņresursa identifikatoru un iekšējās konfigurācijas ierakstu. Atradumu varētu apstiprināt ar domēna administratīvajiem datiem un konkrēta sistēmas īpašnieka apliecinājumu. Ja pieejamas tikai netiešas pazīmes, rezultātam jāpaliek kategorijā “neapstiprināts”, nevis jākļūst par automātisku uzņēmuma drošības atradumu.

Šī piesardzība ir būtiska koplietotā infrastruktūrā. CDN IP adrese var apkalpot simtiem savstarpēji nesaistītu vietņu. Vēsturisks sertifikāts var liecināt par kādreiz izmantotu nosaukumu, ne pašreizēju servisu. Pat organizācijas zīmolam līdzīgs domēns var būt neatkarīgas trešās personas īpašums. Nepamatota atribūcija rada ne vien kļūdainus risku pārskatus, bet arī juridiskus un operacionālus riskus, ja drošības komanda sāk skenēt svešu infrastruktūru.

Praktiskai pārvaldībai piedāvāju izmantot vienu darba ierakstu katram atšķirtam loģiskam aktīvam vai servisam, bet katru ārējo novērojumu piesaistīt kā pierādījumu, nevis uzreiz izveidot jaunu “serveri”. Tādējādi viena lietojumprogramma ar vairākiem domēniem nerada nekontrolētu dublikātu skaitu un koplietota IP adrese netiek kļūdaini pasludināta par uzņēmuma īpašumu.

Šī matrica nav NIST vai CISA izdots obligāts veidlapas paraugs. Tas ir redakcionāli izstrādāts kontroles modelis, kas balstās uz NIST aktīvu uzskaites principiem, CISA interneta ekspozīcijas samazināšanas pieeju un OWASP uzbrukuma virsmas analīzes metodoloģiju S01S02S03. Tā vērtība rodas no lēmumu izsekojamības: var pateikt, kas ir zināms, ko vēl tikai pieņemam un kurš ir atbildīgs par nenoteiktības novēršanu.

Ar EASM (External Attack Surface Management) parasti apzīmē ārēji novērojamas ekspozīcijas atklāšanas un uzraudzības praksi. CAASM (Cyber Asset Attack Surface Management) parasti koncentrējas uz daudzu iekšējo uzskaites un drošības avotu normalizēšanu un aktīvu sasaisti. Tie ir nozarē lietoti apzīmējumi, kuru precīzais produktu tvērums dažādiem piegādātājiem atšķiras; tos nevajadzētu uzskatīt par savstarpēji izslēdzošiem standartizētiem atbilstības statusiem. Ievainojamību pārvaldība savukārt izvērtē atklāto aktīvu iespējamos trūkumus un novēršanas darbības.

Ja EASM sistēma redz publisku administrācijas paneli, tā var dot vajadzīgo ekspozīcijas signālu. Taču tai vēl jānoskaidro, vai panelis ir uzņēmuma atbildībā, vai pieeju ierobežo autentifikācija un vai ir ievainojamība. CAASM var palīdzēt salīdzināt atradumu ar mākoņkonta datiem un konfigurācijas reģistru. Ievainojamību skenēšana var pievienot tehnisku novērtējumu, bet pati par sevi neatrisina biznesa nepieciešamības jautājumu: iespējams, panelim internetā nemaz nav jābūt.

CISA BOD 23-01 savā piemērošanas jomā tieši nošķir aktīvu atklāšanu no ievainojamību uzskaites. Tā ir saistoša noteiktām ASV federālās civilo izpildvaras institūcijām, nevis automātiski Latvijas uzņēmumiem. Direktīva ilustrē svarīgu pārvaldības atšķirību: lai pārbaudītu ievainojamības, vispirms nepieciešams pietiekami zināt, kurās sistēmās tās jāmeklē S05. No šīs loģikas nevar izsecināt, ka jebkurai organizācijai jāievēro direktīvā minētie federālie termiņi.

CISA iesaka izvērtēt, vai konkrētam aktīvam vispār nepieciešama interneta piekļuve, un nevajadzīgu ekspozīciju noņemt vai ierobežot S01. Tas ir praktiski saprātīgi: ja administrācijas saskarne nav publiski sasniedzama, viens iespējamais uzbrukuma ceļš tiek novērsts. Taču vienkāršs portu vai domēnu skaita samazinājums nav pietiekams efektivitātes rādītājs. Viena nekorekti aizsargāta identitātes sistēma var būt nozīmīgāka par desmit publiskām, pareizi izolētām statiskām vietnēm.

OWASP arī norāda, ka uzbrukuma virsma jāvērtē pēc ieejas punktu tipiem, datu kritiskuma, privileģētām funkcijām un izmaiņām arhitektūrā, ne tikai pēc skaita S03. Tādēļ es vispirms samazinātu publiski pieejamas administrēšanas iespējas, nevajadzīgus attālās piekļuves servisus, pamestas testa vides un komponentes bez drošības atjauninājumiem. Pēc tam salīdzinātu atlikušās ekspozīcijas ar biznesa nepieciešamību un aizsardzības kontrolēm. Arī piekļuves ierobežošana var izraisīt darbības pārrāvumus, ja netiek ņemtas vērā integrācijas un rezerves procedūras; tāpēc izmaiņas jātestē.

Vienreizējs skenējums sniedz novērojuma momentuzņēmumu. Lai pārbaudītu pārvaldības spēju, vajadzīgs atkārtojams process ar skaidru salīdzinājumu starp iekšējām un ārējām datu kopām. Šeit es izmantotu piecus secīgus soļus, kuros katrs rezultāts ir pārbaudāms un neviena neapstiprināta saikne netiek uzskatīta par faktu.

Sākuma uzskaite. Apkopotu apstiprinātos domēnus, mākoņkontus, publiskās IP adreses, piegādātāju uzturētos resursus un kritiskās API. Katram ierakstam piešķirtu atbildīgo un reģistra pēdējās pārbaudes laiku. Piegādātāja infrastruktūras gadījumā atšķirtu pakalpojuma izmantošanu no aparatūras vai IP adreses īpašumtiesībām.

Neatkarīga atklāšana. Salīdzinātu uzskaiti ar atļautā tvērumā iegūtiem DNS, sertifikātu, mākoņa vadības API un pakalpojumu sasniedzamības novērojumiem. Pasīvie avoti palīdz veidot kandidātu kopu, bet aktīvā pārbaude apliecina tikai konkrētajā laikā redzamo uzvedību. Interneta skenēšanas datubāzu rezultāti jāvērtē ar novērojuma laika un iespējamās novecošanas atrunu.

Identitātes saskaņošana. Katrai nesakritībai noteiktu statusu: apstiprināts aktīvs, neapstiprināts kandidāts, trešās personas resurss, vēsturisks ieraksts vai kļūdains atradums. Sasaistes pierādījumus glabātu atsevišķi no paša secinājuma, lai vēlāk varētu pārbaudīt, kā klasifikācija radusies. Koplietotu infrastruktūru nedrīkst piesaistīt tikai pēc IP adreses.

Ekspozīcijas nepieciešamība un drošība. Apstiprinātajiem aktīviem izvērtētu to biznesa funkciju, autentifikācijas modeli, datu nozīmīgumu, konfigurāciju un pieejamības prasības. Nepieciešamības gadījumā organizētu atļautu ievainojamību pārbaudi. Neatkarīgi no skenēšanas rezultāta var pieņemt lēmumu slēgt nevajadzīgu publisku piekļuves ceļu.

Izmaiņu kontrole. Atkārtotu uzskaiti pēc izvietošanas, migrācijas, jauna piegādātāja pieslēgšanas vai DNS konfigurācijas maiņas. Saglabātu iepriekšējo un jauno stāvokli, lai varētu noteikt, kas parādījies, pazudis vai mainījis īpašnieku. Lēmumu par pieņemamu ekspozīciju fiksētu ar atbildīgo un pārskatīšanas termiņu.

Ar šādu procesu var pārbaudīt konkrētus darbības jautājumus: cik ilgi jauns publisks resurss paliek bez apstiprināta īpašnieka, cik neatrisinātu kandidātu ir ar iespējamu kritisku ietekmi un cik reizes neplānota ekspozīcija konstatēta pēc izmaiņām. Šie rādītāji ir interpretējami tikai tad, ja fiksēts, kā veidojas kandidātu kopa un vai atklāšanas pārklājums laika gaitā nav mainījies. Pretējā gadījumā straujš atradumu skaita pieaugums var nozīmēt arī labāku atklāšanu, ne obligāti pasliktinātu drošību.

Visgrūtākais rādītājs ir šķietami vienkāršais jautājums: cik procentus ārējās uzbrukuma virsmas organizācija redz? Lai aprēķinātu īstu pilnīguma procentu, nepieciešams zināt visu attiecīgajā tvērumā esošo aktīvu kopu. Parasti tieši šī kopa nav neatkarīgi zināma. Divu skeneru atklāto aktīvu apvienojumu var izmantot kā novēroto kopu, ne kā pierādītu pilnu realitāti. Pieaugot rīku vai datu avotu skaitam, mainās arī novērotā kopa, tādēļ procentuālas izmaiņas bez metodoloģijas apraksta var maldināt.

Praktiskāk ir atdalīt trīs rādītāju grupas. Pirmā — inventāra pārvaldība: cik apstiprinātu aktīvu ir ar atbildīgo, biznesa funkciju un pēdējās verifikācijas laiku. Otrā — neatrisinātās nesakritības: cik ārēji atklātu kandidātu vēl nav sasaistīti ar aktīvu vai noraidīti ar pamatojumu. Trešā — ekspozīcijas kontrole: cik publisku servisu ir bez dokumentētas nepieciešamības, cik ir novecojušas komponentes un cik ātri novērstas neparedzētas izmaiņas. Tā būtu labāka vadības informācija nekā viens ar lielu precizitāti attēlots “attack surface score”, kura aprēķina pieņēmumus neviens nespēj izskaidrot.

OWASP apraksta arī formālākus uzbrukuma virsmas mērīšanas modeļus, kas ņem vērā ieejas un izejas punktus, kanālus un iespējamo kaitējumu, taču pats skaitlis neizslēdz vajadzību saprast konkrētās sistēmas arhitektūru S03. Manuprāt, metriku pirmā funkcija ir atklāt nepareizu lēmumu vai nepamanītu izmaiņu, nevis izskatīties iespaidīgi vadības prezentācijā.

Pat ļoti rūpīgs ārējās ekspozīcijas inventārs neapliecina, ka uzņēmums ir drošs. Tas neparāda visas autorizācijas kļūdas pēc autentifikācijas, nepierāda datu izolāciju starp klientiem, nekontrolē visus iekšējos servisu savienojumus un nedod pilnu priekšstatu par koda vai piegādes ķēdes risku. Publiski neredzams serviss var būt sasniedzams no kompromitētas iekšējās sistēmas; savukārt publiska, korekti aizsargāta lietojumprogramma var būt pilnīgi pamatota uzņēmuma darbībai.

Tāpat nevar droši apgalvot, ka konkrētu sistēmu neviens uzbrucējs neredz tikai tāpēc, ka izvēlētais meklēšanas pakalpojums to nav indeksējis. Pasīvo indeksu pārklājums, novērojumu laiks un datu atjaunināšanas ritms atšķiras. DNS ieraksta neesamība neizslēdz piekļuvi pēc IP adreses, bet atvērtas TCP pieslēgvietas konstatēšana neapliecina konkrētu programmatūras ievainojamību. Tieši tādēļ atradumi jāsaista ar pārbaudes metodi un nenoteiktības robežu.

Iekšējais inventārs, ārējie novērojumi, izmaiņu vēsture un ievainojamību novērtējums ir savstarpēji papildinoši pierādījumi. Organizācija var būt samērā labi pasargāta arī bez dārgas komerciālas EASM platformas, ja tai ir efektīva aktīvu uzskaite, automatizēti mākoņa un DNS dati, atbildīgi īpašnieki un pārbaudāms izmaiņu process. Savukārt dārgs rīks nevar novērst atbildības vakuumu, ja neviens nespēj pieņemt lēmumu par atrastā servisa nepieciešamību.

Par uzbrukuma virsmas pārvaldības kvalitāti es spriestu pēc tā, vai organizācija spēj saprātīgā laikā atbildēt uz trim jautājumiem: kas ir publiski sasniedzams, kāpēc tas ir sasniedzams un kurš uzņemas atbildību par šo lēmumu? Ja atbilde balstīta tikai pēdējā skenējuma eksportā, pilnīgums un īpašumtiesības paliek nepierādīti. Ja katrai būtiskai ekspozīcijai ir sasaistes pierādījums, biznesa pamatojums, kontroles pārbaude un izmaiņu vēsture, organizācijai ir daudz labāks pamats novērst riskus arī tad, kad infrastruktūra mainās.

Es nesāktu ar mērķi sasniegt nulli atvērtu portu vai simtprocentīgu pārklājumu, kura saucējs nav zināms. Es sāktu ar neatrisinātajām atšķirībām starp to, ko uzņēmums uzskata par savu infrastruktūru, un to, kas faktiski novērojams ārpus tā. Šo atšķirību samazināšana ir pārbaudāms darbs. Un tieši tur sākas uzticama uzbrukuma virsmas pārvaldība.