Un server può essere online da anni senza che nessuno sappia più chi lo gestisce. Un sottodominio può continuare a rispondere anche dopo la chiusura di un progetto. Un'applicazione può essere stata pubblicata da un team senza essere mai inserita nell'inventario IT.
Queste situazioni hanno un elemento in comune: esistono risorse che l'organizzazione non conosce, o che non riesce più a ricondurre a un responsabile.
Dal punto di vista della sicurezza, è un problema concreto. Non perché ogni risorsa sconosciuta sia vulnerabile, ma perché diventa difficile mantenerla aggiornata, verificare le sue configurazioni e intervenire quando emerge un problema.
Cosa sono gli asset IT non censiti?
Un asset IT è una risorsa tecnologica utilizzata o gestita da un'organizzazione.
Può trattarsi di:
- un dominio o un sottodominio;
- un indirizzo IP pubblico;
- un server o una macchina virtuale;
- un'applicazione web;
- un'API;
- un servizio cloud;
- un ambiente di sviluppo;
- un servizio di terze parti collegato all'infrastruttura.
Un asset non censito è una risorsa che manca dall'inventario ufficiale oppure che è presente senza informazioni sufficienti per identificarne lo scopo e il responsabile.
Per esempio:
Inventario ufficiale
├── example.com
├── www.example.com
└── api.example.com
Risorse individuate
├── example.com
├── www.example.com
├── api.example.com
├── old.example.com
└── staging.example.com
Le ultime due risorse non sono necessariamente pericolose. Devono però essere riconosciute e verificate.
Come fanno a comparire risorse sconosciute?
Spesso non c'è un singolo errore. Il problema emerge dalla somma di decisioni prese in momenti diversi.
Progetti temporanei diventati permanenti
Un team crea un ambiente per una dimostrazione, una campagna pubblicitaria o un test tecnico. Il progetto termina, ma il server rimane attivo.
Migrazioni incomplete
Un'applicazione viene trasferita su una nuova infrastruttura, mentre il vecchio server continua a rispondere.
Crescita dell'organizzazione
Nuovi reparti, collaboratori e fornitori possono introdurre servizi senza passare da un processo centralizzato di registrazione.
Servizi cloud creati rapidamente
La facilità con cui si possono attivare nuove risorse è un vantaggio operativo, ma può rendere più difficile mantenere un inventario aggiornato.
Acquisizioni e cambiamenti organizzativi
Dopo una fusione, una riorganizzazione o un cambio di fornitore, alcune risorse possono perdere il proprio referente.
Perché rappresentano un rischio?
Il rischio principale è la mancanza di controllo.
Una risorsa non censita potrebbe utilizzare software obsoleto, contenere dati non più necessari o esporre servizi che nessuno monitora.
Inoltre, quando viene pubblicata una nuova vulnerabilità, è più difficile capire se il sistema interessato faccia parte dell'infrastruttura dell'organizzazione.
Immaginiamo che venga segnalato un problema in una determinata versione di un software.
Se l'inventario è completo, è possibile cercare rapidamente i sistemi interessati.
Se esistono server sconosciuti, alcuni potrebbero rimanere esclusi dalle verifiche e dagli aggiornamenti.
Come individuare gli asset sconosciuti?
Un buon punto di partenza consiste nel confrontare l'inventario interno con le informazioni osservabili dall'esterno.
Per esempio:
Inventario interno
+
Domini e sottodomini conosciuti
+
Servizi pubblicamente raggiungibili
+
Certificati e informazioni DNS
↓
Risorse da riconciliare
Questa attività può far emergere hostname dimenticati, servizi inattesi e differenze tra l'infrastruttura documentata e quella effettivamente visibile.
È importante ricordare che le fonti esterne non restituiscono necessariamente un inventario completo. Alcune risorse potrebbero non essere osservabili pubblicamente, mentre altre potrebbero appartenere a fornitori o infrastrutture condivise.
Ogni risultato deve quindi essere verificato prima di attribuirlo all'organizzazione.
Come classificare una risorsa individuata?
Una volta scoperto un asset, conviene assegnargli uno stato.
| Stato | Significato | Azione | | ---------------- | --------------------------------------- | ----------------------------- | | Riconosciuto | Il proprietario e lo scopo sono noti | Verificare la configurazione | | Da verificare | L'asset è noto, ma mancano informazioni | Approfondire | | Non riconosciuto | Non è chiaro a chi appartenga | Identificare il responsabile | | Obsoleto | Non sembra più necessario | Valutare la dismissione | | Non autorizzato | L'uso non è stato approvato | Attivare la procedura interna |
La classificazione dovrebbe essere basata su verifiche concrete, non soltanto sul nome dell'host o sul risultato di una scansione.
Cosa fare quando si trova un asset sconosciuto?
Un processo semplice può essere sufficiente:
- Verificare l'appartenenza. Controllare dominio, IP, DNS e informazioni disponibili.
- Identificare il servizio. Capire quale applicazione o componente risponde.
- Trovare il responsabile. Coinvolgere il team IT, il reparto interessato o il fornitore.
- Valutare l'esposizione. Stabilire se i servizi accessibili siano necessari.
- Correggere il problema. Aggiornare, limitare l'accesso, documentare o dismettere la risorsa.
- Aggiornare l'inventario. Registrare quanto emerso e le azioni intraprese.
Non è consigliabile disattivare automaticamente un servizio sconosciuto: potrebbe supportare un'applicazione importante. Prima di intervenire bisogna valutarne le dipendenze e l'impatto operativo.
Come evitare che il problema si ripresenti?
La gestione degli asset deve diventare un'attività continuativa.
È utile prevedere:
- registrazione delle nuove risorse;
- assegnazione obbligatoria di un proprietario;
- revisione periodica dell'inventario;
- procedure di dismissione;
- verifica degli asset dopo migrazioni e cambi di fornitore;
- monitoraggio delle nuove esposizioni pubbliche.
Anche un foglio di calcolo ben mantenuto può essere un buon punto di partenza. Per infrastrutture più complesse, strumenti dedicati possono automatizzare parte della raccolta e del confronto.
In sintesi
Un asset sconosciuto non è necessariamente compromesso, ma rappresenta una lacuna nella gestione dell'infrastruttura.
Per ridurre questo problema è necessario sapere quali risorse esistono, a chi appartengono, perché sono attive e quali servizi espongono.
MiHakero può aiutare a individuare gli asset e i servizi osservabili dall'esterno, evidenziando elementi da confrontare con l'inventario interno e da sottoporre a verifica.