Superficie de ataque (Attack surface)

La superficie de ataque la define la alcanzabilidad, no la intención. Un activo pertenece a ella si algo que está fuera de tu control puede enviarle un mensaje y obtener respuesta, tanto si alguien quiso publicarlo como si no, y tanto si figura en un inventario como si no.

Suele dividirse en tres. La superficie externa es todo lo alcanzable desde internet: dominios y subdominios, servicios a la escucha, aplicaciones web, API, infraestructura de correo, accesos remotos, almacenamiento cloud dejado en público. La superficie interna es lo que alcanza un primer punto de apoyo, que en una red plana es prácticamente todo. La superficie humana es el conjunto de personas a las que se puede llegar y a las que se puede convencer, que es la que nunca sale en un escaneo.

Hay dos propiedades fáciles de pasar por alto y que explican casi toda la distancia entre un inventario y la realidad. La primera es que la superficie crece sin que nadie tome ninguna decisión: se emite un certificado, un desarrollador publica una máquina de pruebas, una agencia de marketing aparca un subdominio en su plataforma, la integración de un proveedor abre una API nueva. La segunda es que es transitiva. Un proveedor de identidad federado con tu tenant, una herramienta de soporte con sesión abierta en tu consola, una librería que se trae tu compilación: todos son sitios desde los que un atacante puede empujar, y ninguno es un servidor tuyo.

Medirla es enumerar, no evaluar: registros de transparencia de certificados, DNS pasivo, las cuentas cloud que conoces y las que descubres, repositorios de código y paquetes de aplicaciones móviles que nombran máquinas de la trastienda, y registros de correo y de DNS que describen a los proveedores. El resultado es una lista de cosas que contestan, que es donde empiezan las pruebas y no donde terminan.

La distancia entre el registro de activos y lo que contesta en internet es lo más productivo que encontramos en un proyecto externo, y casi nunca es un fallo de tecnología. Es un fallo de propiedad.

Toda organización tiene máquinas que nadie reclama. Una web de campaña de hace tres años, que sigue resolviendo, que sigue corriendo el gestor de contenidos con el que se construyó y que sigue guardando la base de datos con las inscripciones de un concurso. Un entorno de preproducción con datos de producción y sin autenticación, porque iba a ser temporal. El dominio de una empresa adquirida, todavía apuntando a su proveedor antiguo, todavía con un certificado comodín. Nada de esto es exótico: es el estado por defecto de un parque que lleva una década creciendo.

El subdomain takeover es el ejemplo más claro del mecanismo. Un registro DNS sigue apuntando a un servicio cloud después de que se borrara el recurso que había detrás. El nombre es tuyo; el contenido que ahora sirve es de quien registre ese recurso a continuación. Al atacante no le cuesta nada, y le entrega un nombre de máquina dentro de tu dominio en el que los navegadores, las cookies de sesión y tu plantilla van a confiar.

Esto sobrevive porque no se rompe nada. Una máquina huérfana no abre un ticket. No falla ninguna comprobación de salud que alguien esté mirando, porque nadie la configuró. Se encuentra cuando alguien enumera los registros de transparencia de certificados, cosa que lleva minutos, que los atacantes hacen de forma continua y que casi ninguna organización hace nunca.

Estos tres se usan como sinónimos en el mismo párrafo del mismo informe, y son cantidades distintas con dueños distintos.

La distinción importa porque la métrica que suele publicarse es la equivocada. Contar la superficie de ataque te dice cómo de grande es el parque. Contar la exposición, que es gestión de la exposición y no recuento de vulnerabilidades, te dice qué parte de ese parque es un problema ahora mismo. Una superficie que crece con la exposición plana es una empresa que crece con seguridad.

Confundir la CMDB con la superficie. El registro lista lo que se aprovisionó siguiendo un proceso. La superficie incluye lo que no.

Escanear solo los rangos que son tuyos. La mayor parte de la superficie moderna no está en tu espacio de direcciones. Está en cuentas cloud, en tenants de software como servicio y en infraestructura compartida de proveedores, y se encuentra por nombre y no por dirección.

Tratar el shadow IT como un problema de política. Un departamento que compra una herramienta con una tarjeta está respondiendo a una necesidad real. La respuesta de seguridad es descubrirlo e incorporarlo, no mandar una circular. Lo que sí hay que hacer cumplir es que eso no lleve identidad corporativa ni datos por defecto.

Olvidarse de las personas y de los terceros. El personal al que se puede llamar por teléfono, los proveedores con acceso permanente a tu tenant y las integraciones con tokens de larga duración son todos alcanzables, y ninguno sale en un escaneo externo.

Medir una vez al año. Los certificados se emiten en minutos y los recursos cloud en segundos. Una enumeración anual describe un parque que ya no existe.

Reducir es sobre todo borrar, y borrar necesita un dueño. Cada nombre de máquina, cada servicio a la escucha y cada cuenta cloud debería corresponder a un equipo con nombre, y lo que no corresponda a ninguno es el primer punto de trabajo. En la práctica, lanzar el descubrimiento es fácil y asignar los resultados es la parte que tarda meses.

Después, haz visible el crecimiento. Vigila la transparencia de certificados de tus dominios, avisa de los registros nuevos en tus zonas, y revisa las entradas DNS que apuntan a servicios de terceros comprobando si el recurso que hay detrás sigue existiendo, que es lo que cierra un subdomain takeover antes de que se abra. Dale al parque un valor por defecto cerrado: nada de almacenamiento público, ninguna interfaz de gestión en internet, ningún acceso remoto sin comprobación de identidad. La infraestructura permanente se beneficia de líneas base de hardening aplicadas al construir y no corregidas después.

Sigue la tendencia que importa. No el número de activos, que va a crecer, sino la edad del activo huérfano más antiguo y el tiempo que pasa entre que aparece una máquina y que alguien la reclama. Esos dos números describen un proceso; un total no. El attack surface management continuo es la categoría de herramienta hecha para esto, y vale exactamente lo que valga el proceso de asignación de propiedad que tenga detrás.

Un proyecto externo empieza aquí, y la enumeración es un entregable por derecho propio. Entregamos la lista completa de lo que contesta, cómo se encontró cada cosa, cuáles están confirmadas como del cliente y cuáles no hemos podido atribuir, porque las que no se pueden atribuir suelen ser las interesantes. La lista lleva fecha, porque es una foto de un momento.

El hallazgo que se escribe contra la superficie de ataque no es una vulnerabilidad. Es una diferencia: lo que encontramos y el cliente no sabía que tenía. La severidad no es el recuento. Es lo peor que hay en una máquina que nadie reclama, y por eso la misma enumeración el trimestre siguiente se lee de forma muy distinta una vez hecho el trabajo de asignar dueños.

Esta enumeración es por donde empieza un proyecto externo, antes de probar absolutamente nada.

¿Qué diferencia hay entre superficie de ataque y vector de ataque? La superficie es todo punto al que se puede llegar. Un vector es el camino concreto que un atacante usó a través de uno de esos puntos. La superficie se puede reducir a propósito; el vector solo se conoce después.

¿Cada cuánto hay que medir la superficie de ataque? De forma continua, porque cambia de forma continua. Una revisión trimestral de las diferencias es una cadencia humana razonable encima del descubrimiento automático, y una foto anual por sí sola no sirve casi de nada.

¿Reducir la superficie de ataque nos hace seguros? Hace que cuenten menos cosas. Una superficie más pequeña con las mismas vulnerabilidades encima sigue siendo explotable; lo que da la reducción es menos que defender y menos sitios por los que llevarse una sorpresa. Va con reducir la exposición, no en lugar de eso.

¿No es lo mismo que nuestro inventario de activos? No. Un inventario de activos es lo que aprovisionaste a propósito. La superficie de ataque es lo que de verdad contesta, que incluye todo lo aprovisionado fuera del proceso y todo lo que nadie retiró.