Obejmuje interfejsy techniczne i osiągalne usługi, ale także tożsamości, relacje zaufania, eksponowane funkcje zarządcze, konfiguracje chmurowe, połączenia z dostawcami i przepływy pracy, które atakujący mógłby wykorzystać niewłaściwie.
Powierzchnie ataku zmieniają się nieustannie, gdy organizacje wdrażają usługi, tworzą konta, podłączają dostawców, przenoszą obciążenia i zostawiają po sobie stare zasoby. Zarządzanie powierzchnią wymaga więc odkrywania, właścicielstwa, kontekstu i kontrolowanych zmian — a nie tylko okresowego skanowania portów.
Praktyczne zarządzanie zaczyna się od odkrywania: inwentaryzacji wewnętrznej dla własnych zasobów i skanowania zewnętrznego dla tego, co może znaleźć osoba z zewnątrz — w tym zapomnianych witryn, shadow IT i infrastruktury przypisywalnej dostawcom. Każdy element powierzchni potrzebuje następnie właściciela, celu biznesowego i decyzji ryzykownej: usunąć, chronić czy zaakceptować ekspozycję.
Najważniejsze punkty
Powierzchnia zewnętrznaDomeny, adresy, usługi, aplikacje i zasoby chmurowe skierowane do internetu oraz eksponowane poświadczenia lub dane.
Powierzchnia wewnętrznaOsiągalne systemy, uprawnienia, ścieżki administracyjne, usługi współdzielone i możliwości ruchu bocznego (lateral movement).
Metody redukcjiUsuwaj nieużywane zasoby, zawężaj dostęp, wzmacniaj interfejsy, redukuj uprawnienia, segmentuj zależności i usuwaj warunki możliwe do wykorzystania.
Istotne ograniczenieNajmniejsza możliwa powierzchnia nie zawsze jest właściwym projektem; organizacje nadal potrzebują użytecznych usług i muszą zarządzać ryzykiem niezbędnej ekspozycji.