Un sito web viene controllato oggi e non presenta problemi evidenti. Qualche settimana dopo, viene pubblicata una nuova API, cambia una configurazione DNS o compare un servizio che prima non esisteva.
Nel frattempo, il risultato della verifica precedente è rimasto invariato.
È uno dei limiti principali dei controlli eseguiti soltanto occasionalmente: descrivono ciò che è stato osservato in un determinato momento, non necessariamente ciò che è esposto oggi.
Per questo il monitoraggio della superficie di attacco dovrebbe essere un processo ricorrente.
Che cos'è il monitoraggio della superficie di attacco?
Consiste nell'osservare periodicamente gli asset e i servizi esposti per individuare cambiamenti, anomalie e situazioni che richiedono una verifica.
Può includere il controllo di:
- domini e sottodomini;
- indirizzi IP pubblici;
- porte e servizi raggiungibili;
- certificati TLS;
- applicazioni web;
- API;
- configurazioni osservabili dall'esterno;
- vulnerabilità note rilevabili attraverso controlli appropriati.
Il monitoraggio non deve necessariamente essere eseguito ogni secondo. La frequenza dipende dalla criticità degli asset, dalla velocità con cui cambia l'infrastruttura e dal tipo di controllo.
Perché una singola scansione non è sufficiente?
Una scansione rappresenta una fotografia.
Può essere utile per individuare problemi, ma non garantisce che la situazione rimanga invariata nel tempo.
Immaginiamo questa sequenza:
1 ottobre
→ servizio non esposto
8 ottobre
→ nuova configurazione
10 ottobre
→ servizio raggiungibile pubblicamente
Se il controllo è stato eseguito soltanto il primo ottobre, il cambiamento potrebbe passare inosservato.
Il monitoraggio periodico permette invece di confrontare le osservazioni e identificare le differenze.
Quali cambiamenti è utile rilevare?
Nuovi sottodomini
Potrebbe comparire un nuovo hostname dedicato a un ambiente di test o a un'applicazione.
La sua presenza non indica automaticamente un problema, ma dovrebbe essere confrontata con l'inventario.
Nuove porte o nuovi servizi
Un aggiornamento dell'infrastruttura potrebbe rendere raggiungibile un servizio che prima era accessibile soltanto internamente.
È importante verificare se l'esposizione sia intenzionale.
Certificati e hostname
Nuovi certificati osservabili pubblicamente possono fornire indicazioni su hostname aggiuntivi.
Queste informazioni sono utili per aggiornare l'inventario, anche se non costituiscono una rappresentazione completa di tutti gli asset.
Cambiamenti nelle risposte HTTP
Una pagina precedentemente protetta potrebbe iniziare a restituire contenuti diversi, errori o informazioni inattese.
Il cambiamento merita un controllo, ma non sempre rappresenta una vulnerabilità.
Nuove vulnerabilità note
Un software che era aggiornato al momento dell'ultima verifica potrebbe essere interessato da una vulnerabilità divulgata successivamente.
Per valutare il rischio, bisogna verificare l'effettiva presenza del componente e le condizioni che rendono applicabile il problema.
Come funziona un processo di monitoraggio?
Un flusso semplice può essere organizzato così:
Raccolta degli asset
↓
Verifica periodica
↓
Confronto con i risultati precedenti
↓
Individuazione dei cambiamenti
↓
Valutazione del rischio
↓
Verifica e correzione
Il punto più importante è l'ultimo passaggio.
Rilevare un cambiamento non significa automaticamente sapere come intervenire. I risultati devono essere interpretati e, quando necessario, verificati da una persona competente.
Come scegliere la frequenza dei controlli?
Non esiste una frequenza universale adatta a tutti.
Alcuni esempi:
| Tipo di asset | Approccio possibile | | ----------------------------------- | --------------------------------------------------- | | API critiche | Controlli frequenti e dopo modifiche rilevanti | | Sito istituzionale | Controlli periodici e dopo aggiornamenti importanti | | Ambienti di staging | Revisione ricorrente e dopo i test | | Domini legacy | Verifiche fino alla dismissione completa | | Infrastruttura in rapida evoluzione | Monitoraggio più frequente |
La frequenza dovrebbe essere proporzionata al rischio e alle risorse disponibili.
È inoltre utile eseguire controlli dopo modifiche infrastrutturali significative, senza attendere necessariamente la scansione programmata successiva.
Evitare gli alert inutili
Un sistema di monitoraggio che segnala ogni variazione senza considerare il contesto può generare moltissimi avvisi.
Nel tempo, gli operatori rischiano di abituarsi agli alert e di ignorare anche quelli importanti.
Per migliorare la qualità dei risultati è utile:
- confrontare le osservazioni nel tempo;
- eliminare i duplicati;
- assegnare una priorità;
- distinguere cambiamenti attesi e inattesi;
- registrare gli asset già verificati;
- documentare le eccezioni autorizzate.
Per esempio, la pubblicazione di una nuova API può essere un cambiamento previsto durante un rilascio. La comparsa di un database pubblicamente raggiungibile senza una motivazione documentata richiede invece un approfondimento.
Monitoraggio e scansione delle vulnerabilità non sono la stessa cosa
I due processi sono collegati, ma hanno obiettivi differenti.
Il monitoraggio della superficie di attacco cerca di capire quali asset e servizi siano osservabili e come cambino nel tempo.
La scansione delle vulnerabilità cerca invece di identificare problemi di sicurezza attraverso controlli specifici.
Un'organizzazione può conoscere perfettamente i propri asset e avere comunque vulnerabilità da correggere. Allo stesso modo, può eseguire scansioni accurate ma trascurare sistemi che non sono stati inclusi nel perimetro.
Per questo è utile combinare i due approcci.
Monitoraggio esterno e controlli interni
L'osservazione esterna aiuta a comprendere ciò che è visibile a un soggetto che si trova su Internet.
Non può però verificare ogni aspetto dell'infrastruttura.
Alcuni problemi richiedono accesso autorizzato alle configurazioni interne, alle identità cloud, ai database o ai sistemi di gestione.
Una strategia completa dovrebbe quindi combinare, quando possibile:
- osservazione esterna;
- inventario interno;
- verifica delle configurazioni;
- gestione delle vulnerabilità;
- controllo degli accessi;
- procedure di correzione.
Quali indicatori monitorare?
Per valutare il processo si possono utilizzare alcuni indicatori:
- numero di asset pubblici conosciuti;
- nuovi asset individuati;
- servizi esposti senza una motivazione documentata;
- cambiamenti inattesi;
- risultati ancora da verificare;
- tempo necessario per gestire un rilievo;
- problemi corretti e verificati.
Non è necessario puntare a zero segnalazioni: un buon sistema potrebbe rilevare molti cambiamenti legittimi. L'obiettivo è individuare tempestivamente quelli importanti e gestirli in modo tracciabile.
In sintesi
Una singola scansione può fornire informazioni preziose, ma non descrive per sempre la superficie di attacco.
Domini, applicazioni, servizi e configurazioni cambiano. Per questo è importante ripetere i controlli, confrontare i risultati e approfondire le variazioni significative.
MiHakero può supportare questo approccio aiutando a controllare gli asset pubblicamente rilevabili e a individuare esposizioni che meritano attenzione. Il valore del monitoraggio emerge soprattutto quando i risultati vengono confrontati nel tempo e trasformati in azioni concrete.