未知的可见性:了解EASM以及它如何帮助

外部攻击表面管理(EASM)是困难的和常常令人困惑,尤其是在贫穷的世界里库存控制和不断增长的攻击表面。本博客讨论需要做EASM成功。

丰富关于外部攻击表面管理问题,部分原因是新出现的缩写和术语经常在这个细分市场:攻击表面管理(ASM),资产发现,外部攻击表面管理(EASM),网络资产攻击表面管理(CAASM),等等。但你不应该陷入困境的缩写和术语。相反,重要的是理解,你不能保护资产如果你不知道他们是暴露在互联网上。和外部,面向公众的资产往往是最脆弱的,因为他们是最容易被外部攻击者。

这就是为什么,在所有不同的条款,EASM最意义来描述网络安全这个领域,因为它进入问题的核心:它是至关重要的组织目录和管理面向internet资产获得一个真正的理解其外部足迹。这种级别的可见性是必要的第一步对于任何伟大的安全计划,这就是为什么你必须得到EASM正确。

不要被过时的库存控制

当耶格罗斯曼2017 - 2018年,我开始在EASM我们问我们的潜在客户使用跟踪他们的外部资产。最常见的回答是“Excel”或其他手工资产跟踪的方法。我们意识到我们最大的竞争对手不是竞争对手,而是人们使静态列表,手动更新。一旦创建了一个Excel表,它已经过时了。

我们发现即使是公司技术复杂的足以做自己的资产管理和保持最新使用某种形式的自动化还没有希望的一个更新的库存一旦他们收购了另一家公司,缺乏同样的复杂性。

显然需要一个自动化的解决方案,可以持续跟踪不断变化的外部环境,而不是每季度一次或在研究小组发现时间手动更新列表。

它不是手动资产成本有效的识别,也不安全。容易出问题,而且很费时。IT环境生活,呼吸的东西,不断地变化和快速,因此本手册做锻炼的时候,很可能过时了。跟上步伐的业务、资产库存必须在类似的节奏不断更新业务,需要积分的风险管理程序。

问的,但必要的问题

这里有一些残酷的事实。你不能优先考虑和分析风险如果你无法持续检测和扫描所有资产——包括你的外部资产。任何依靠猜测和运气。你准备好告诉你的董事会吗?

不幸的是,这是现实在大多数组织中。根据一份报告趋势科技基于6300 IT和业务决策者全球民意调查显示,62%的受访者表示,他们的组织有盲点,妨碍安全的努力。Sapio进行的研究,这项研究还发现,受访者知道,平均超过60%的攻击表面。

也许你告诉自己你是好的因为你公司只有几个IP块。如果是这样,你不是少数组织极其擅长卫生,或者,更可能的是,你只是没有记住,说,DNS有托管在GoDaddy或亚马逊路线53岁,或者你的WordPress安装,或者你Cloudflare内容分发网络(CDN),或者你的微软365 Salesforce实例。

关键是,库存控制,不管我们是否愿意承认与否,在大多数组织都很缺乏。这是因为公司资产躺在互联网上,和天的IP块和连续的IP空间迅速被取代ultra-permeable网络可以连接到几十个甚至几百个云提供商。

在我们的一个自己的研究,我们发现,22岁的英国的50个最大组织资产托管或通过51个国家,平均。这是一个惊人的度规想想internet-exposed资产在这些国家的传播。另一个重要发现是,这些公司的平均apple资产总数是76600。有了这样的统计数据,很明显,手动更新静态列表不再把它切了。它不像这些数字正在萎缩。趋势科技和Sapio研究发现,73%的组织担心不断增长的攻击表面。随着越来越多的公司转向软件即服务、平台即服务和“基础架构即服务”的新一代的应用程序中,我们将看到周长继续溶解。

如果你找不到资产,你不是扫描,最终你不知道你有什么风险,更不用说优先考虑这些风险。杀死了拥有一个的想法有效的主动安全程序。

不知道你的外部攻击的成本是什么面?

这不是一个理论问题。事实上,这是最有效的例子之一Equifax违反导致数百万美元。没有CISO或安全领导想要的位置不好意思地向投资者解释,董事会和最重要的是,顾客,他们的公司违反了通过外部资产是未知的,因此不能被监控和保护。

由于EASM今天足够的技术工具,这个解释这些妥协越来越空洞的受害者。你为什么不扫描一切吗?如果答案是成本,那么为什么你有基础设施如果你不能保持它安全吗?你必须扫描一切或删除它。但是,你需要知道一切。

进入EASM

我们需要的是一个EASM系统,不断监测感兴趣的领域,感兴趣的IPs和开放服务。从这里,您可以决定需要做什么。也许没有意义的扫描你的Salesforce安装因为Salesforce照顾这一风险。但也许它意义扫描你的WordPress实例,因为你可能已经过时的插件。只有当你知道这些资产是什么你能做出明智的决定什么扫描和正确评估你的风险。

没有资产所在的基础知识,组织不可能采取一个真正安全的基于风险的方法。

站得住脚的如何帮助

站不住脚的追求EASM之路不是巧合,而是通过设计。能见度是基本接触管理,我们有多种方式让你获得可见性。但是,你可能会问自己,“第一步是什么?或“我怎么开始?”。你甚至可能想要更多的信息关于这个话题。站得住脚的能帮上忙。

如果你是一个穿透测试或顾问,Nessus专家包含一块领域探索,为您的客户提供更多的评估能力至关重要的基础。这可以帮助你脱颖而出的休息。

如果你目前使用的的企业产品,EASM功能我们这篇文章中所描述的是可用的并能够融入你当前的工作流。

了解更多

• 访问我们的EASM网页
• 下载白皮书3实际网络安全组织面临的挑战:风险管理如何帮助
• 查看点播网络研讨会分析师圆桌会议:风险管理如何帮助你获得可见性、防止攻击和交流风险更好的决策