Attack surface management (ASM)
En operaciones de seguridad, el attack surface management (ASM) es el descubrimiento y la evaluación continuos de los activos expuestos a internet y de sus exposiciones, vistos desde fuera y con los ojos de un atacante. Lo que produce es un inventario encontrado, no declarado: los equipos, nombres, certificados y servicios que responden desde internet, se acuerde alguien o no de haberlos creado.
Cómo funciona
Un ciclo de descubrimiento arranca de lo conocido, normalmente un conjunto de dominios registrados y de rangos de red, y se expande hacia fuera: registros de transparencia de certificados, DNS pasivo, datos de los registradores, rangos de los proveedores cloud, repositorios de código y servicios de terceros que publican un nombre de máquina. Cada candidato se resuelve, se sondea en busca de servicios abiertos, se le toma la huella y se atribuye a una organización propietaria, porque lo difícil no es encontrar equipos, sino decidir cuáles son tuyos. Después el ciclo se repite, porque la superficie cambia cada vez que alguien despliega.
Conviene ser exacto con la frontera entre este término y sus vecinos, porque tres palabras contiguas se usan a diario como si significaran lo mismo. La superficie de ataque es el concepto: todo lo alcanzable que se podría atacar. El attack surface management es la práctica de descubrirla y seguirle la pista. La gestión de la exposición es lo que viene después: decidir cuáles de esas exposiciones importan de verdad y hacerlas bajar.
Qué sale mal
El hallazgo que más veces escribimos no es una vulnerabilidad, es un vacío de propiedad. Algo responde en internet, entra en el alcance con cualquier definición razonable, y ningún equipo lo reclama como suyo. Fue el sitio de una campaña, el parque de una empresa adquirida, un entorno de pruebas que un desarrollador dejó levantado en una cuenta cloud personal, o un appliance que alguien expuso para un proveedor y olvidó.
El modo de fallo de la herramienta es el contrario: demasiado. Una plataforma de descubrimiento que atribuye de forma agresiva produce una lista con activos que son de otro, y en cuanto un cliente encuentra dos de esos deja de fiarse de la lista entera. La evidencia de la atribución importa tanto como el descubrimiento. Y una plataforma que descubre de forma continua pero que nadie valida a mano informa de lo que dice un banner y no de lo que hace el servicio, que es la forma en que un equipo dado de baja sigue en verde y un subdomain takeover se queda abierto un año.
Dónde aparece esto en una auditoría
Todo encargo externo empieza aquí, y el primer entregable es el inventario mismo, con la evidencia de cada atribución, porque es habitualmente la parte que el cliente no tenía. Después confirmamos a mano lo que la automatización afirma, y el informe separa los activos que el cliente reconoció de los que no. La segunda lista es la que cambia comportamientos. Esto forma parte de cómo verificamos a mano un perímetro externo.