Il perimetro aziendale, inteso come confine netto tra rete interna e mondo esterno, oggi non esiste più: applicazioni SaaS, workload in cloud, dipendenti che lavorano da casa, dispositivi personali e fornitori con accessi remoti hanno moltiplicato i punti di contatto tra le organizzazioni e internet, creando potenziali punto d’ingresso per un attaccante.
Ne consegue che, in questo scenario, l’Attack Surface Management (ASM) si converte in una leva strategica per chi deve proteggere il proprio capitale informativo in ambienti ibridi.
Indice degli argomenti
Cos’è l’Attack Surface Management (ASM) e perché e centrale per le aziende
L’Attack Surface Management (ASM) è il processo continuo che consente di individuare e tenere sotto controllo domini, sottodomini, indirizzi IP, applicazioni web, servizi cloud, dispositivi, sistemi e altri asset, permettendo di verificare, ad esempio, se è correttamente configurato, aggiornato, protetto e conforme agli standard di sicurezza aziendali.
Tale approccio è particolarmente importante nelle organizzazioni con infrastrutture distribuite e ambienti IT complessi, dove possono esistere asset dimenticati, non censiti o gestiti al di fuori dei processi di sicurezza. Un sistema esposto, un sottodominio non più utilizzato o un servizio configurato in modo errato può, infatti, diventare una porta d’ingresso per un attacco.
L’obiettivo dell’ASM è, quindi, ottenere una visibilità completa e aggiornata della superficie di attacco, identificare le esposizioni più rischiose e ridurre progressivamente i punti che un attaccante potrebbe sfruttare. In sintesi, l’ASM parte da un principio fondamentale della cyber security, ovvero, non si può proteggere ciò che non si conosce.
Qual e la definizione di superficie d’attacco nei contesti informatici ibridi
Si definisce superficie d’attacco l’insieme di tutti i punti attraverso cui un soggetto non autorizzato può tentare di accedere a sistemi, dati o servizi. In un contesto ibrido comprende tre grandi componenti, quali: superficie digitale (i.e.server, applicazioni web, API, database, container, istanze cloud, domini e sottodomini, certificati, porte e servizi esposti); superficie fisica (i.e.endpoint, laptop, smartphone, dispositivi IoT e OT, supporti removibili); superficie umana e organizzativa (i.e. credenziali, account privilegiati, fornitori e terze parti, esposizione a phishing e ingegneria sociale).
Come differiscono la gestione delle vulnerabilità e la mappatura degli asset
È importante distinguere tra gestione delle vulnerabilità e mappatura degli asset, dato che si tratta di attività complementari, ma con obiettivi e modalità operative differenti.
La gestione delle vulnerabilità parte da un insieme di sistemi e asset già conosciuti e ne verifica la sicurezza, individuando vulnerabilità, patch mancanti, configurazioni errate, software obsoleto e altre condizioni di rischio. È quindi un’attività che presuppone di conoscere già il perimetro da analizzare e, soprattutto, dove cercare.
La mappatura degli asset, invece, rappresenta uno degli elementi centrali dell’ASM e ha l’obiettivo di identificare e di mantenere aggiornato l’intero perimetro digitale dell’organizzazione. Ciò include non solo gli asset conosciuti e gestiti dall’IT, ma anche quelli sconosciuti, dimenticati, esposti o creati al di fuori dei processi IT, che possono aumentare la superficie di attacco.
Pertanto, integrate entrambe nell’ambito dell’ASM, contribuiscono a una gestione più efficace e continua della superficie di attacco.
Come mappare la superficie d’attacco aziendale tra cloud ed endpoint
È importante evidenziare che una mappatura efficace richiede di combinare più fonti, quali: inventari interni, scansioni esterne, dati dei provider cloud, sistemi di gestione degli endpoint e informazioni sui domini registrati.
Inoltre, ogni asset va arricchito con il contesto: owner, criticità per il business, dati trattati, livello di esposizione.
Come identificare l’infrastruttura ombra e i dispositivi non autorizzati
Le organizzazioni devono prendere coscienza ed essere in grado di gestire lo shadow IT, ovvero tutti quei servizi, applicazioni e dispositivi utilizzati senza l’approvazione del reparto IT e per la cui individuazione possono essere impiegate diverse tecniche, quali:
- Analisi dei registri DNS e dei certificati per scoprire domini e sottodomini non censiti.
- Monitoraggio del traffico di rete e dei log proxy per rilevare l’uso di servizi cloud non autorizzati.
- Controllo delle fatture e delle note spese, che spesso rivelano abbonamenti SaaS sfuggiti al processo di acquisto.
- Verifica degli account cloud attraverso strumenti di gestione della postura di sicurezza.
- Network access control per identificare dispositivi sconosciuti che tentano di collegarsi.
Quali strumenti adottare per la discovery continua degli asset di rete
La discovery degli asset di rete deve essere un processo automatizzato e ricorrente, dato che un inventario statico diventa a breve e medio termine.
Pertanto, si consiglia alle organizzazioni di utilizzare i seguenti strumenti per una discovery continua:
- Piattaforme di External Attack Surface Management (EASM), che scansionano internet dal punto di vista di un attaccante per trovare asset esposti riconducibili all’organizzazione.
- Cloud Security Posture Management (CSPM), che inventariano risorse e configurazioni sui principali provider cloud.
- Soluzioni EDR/XDR e di gestione degli endpoint, per la visibilità su laptop, server e dispositivi mobili.
- Scanner di rete e di vulnerabilità, per la scoperta di host, porte e servizi interni.
- CMDB e strumenti di asset management, come fonte di verità da riconciliare con i risultati delle scansioni.
La scelta degli strumenti dipende dalla dimensione, dalla maturità e dalla complessità dell’organizzazione. Inoltre, si consiglia di prestare particolare attenzione alla fase di integrazione tra i vari strumenti, in modo da garantire una visione unica e aggiornata.
Come ridurre l’esposizione ai rischi cibernetici nell’operatività d’impresa
L’organizzazione, dopo aver mappato la superficie, deve intervenire per ridurla, oltre a restringere gli accessi e gestire ciò che resta esposto.
Come applicare il principio del minimo privilegio e il modello Zero Trust
Il principio del minimo privilegio stabilisce che ogni utente, applicazione o servizio disponga solo dei permessi strettamente necessari allo svolgimento del proprio compito, e solo per il tempo richiesto.
Ciò comporta: rivedere periodicamente i diritti di accesso e rimuovere quelli non più necessari; separare gli account amministrativi da quelli ordinari; adottare l’accesso privilegiato temporaneo (just-in-time); applicare l’autenticazione a più fattori, in particolare per accessi remoti e account critici.
Il modello Zero Trust si basa sul principio “non fidarsi mai, verificare sempre”. Pertanto, nessun accesso è considerato affidabile per il solo fatto di provenire dalla rete interna: ogni richiesta viene verificata in base a identità, stato del dispositivo e contesto.
Gli elementi portanti del modello sono: la verifica continua; la micro segmentazione della rete, che limita il movimento laterale di un eventuale intruso; il controllo puntuale degli accessi alle applicazioni.
Come prioritizzare la remediation delle vulnerabilità esposte sul web
È importante evidenziare che non tutte le vulnerabilità hanno la stessa urgenza e devono essere prioritizzate in base al rischio, considerando più fattori, quali: esposizione (un asset raggiungibile da internet ha priorità su uno interno e segmentato); sfruttabilità (avere consapevolezza diexploit noti o attacchi attivi, consultandoil catalogo delle vulnerabilità della CISA KEV – Known Exploited Vulnerabilities) e l’indice EPSS -Exploit Prediction Scoring System);criticità dell’asset (comprendere quali dati e processi di business dipendono dai vari sistemi; gravità; controlli compensativi (i.e. firewall applicativi o segmentazione possono ridurre il rischio in attesa della patch).
Ciò permette di strutturare e concentrare gli interventi di remediation dove il rischio reale è più alto.
Come integrare l’Attack Surface Management nei piani di sicurezza
L’ASM produce valore quando diventa un processo continuo e strutturato, non un progetto una tantum. Pertanto, per essere efficace, deve integrarsi con la gestione degli incidenti, il risk management, i processi di sviluppo e rilascio sicuro (DevSecOps), la valutazione dei fornitori e gli obblighi normativi,
Dal punto di vista operativo, ciò comporta: assegnare un responsabile a ciascun asset; definire cicli periodici di revisione e aggiornamento; collegare le informazioni rilevate dai processi ASM ai sistemi di ticketing e remediation; integrare l’analisi della superficie di attacco nei penetration test e nelle esercitazioni di risposta agli incidenti.
Di fatto, l’ASM si converte in un processo continuo di conoscenza, valutazione e riduzione della superficie di attacco, integrato nella strategia complessiva di cybersecurity e di resilienza, contribuendo a garantire la multi-compliance delle organizzazioni in un quadro regolatorio europeo che richiede una maggiore visibilità sugli asset, gestione dei rischi ICT e controllo della catena di fornitura.
Quali metriche presentare al management per misurare la riduzione dei rischi
È importante sottolineare che, per il management, l’ASM deve tradursi in KPI chiari, misurabili e collegati alla riduzione del rischio di business. Di fatto, non è sufficiente conoscere quanti asset sono esposti: è necessario dimostrare come evolve nel tempo la superficie di attacco, quanto rapidamente vengono individuate e corrette le esposizioni e se gli investimenti in cybersecurity contribuiscono concretamente alla riduzione del rischio.
Tra i principali KPI ASM da presentare al management rientrano: numero di asset esposti a Internet e relativa evoluzione nel tempo; percentuale di asset inventariati con un owner business o tecnico assegnato; numero di asset sconosciuti, non gestiti o riconducibili allo shadow IT;MTTD (Mean Time to Detect), ovvero il tempo medio necessario per individuare un nuovo asset esposto; MTTR (Mean Time to Remediate) delle vulnerabilità critiche presenti sugli asset esposti; percentuale di vulnerabilità critiche risolte entro le soglie di rischio definite; copertura dell’autenticazione multi-fattore (MFA) e dei controlli Zero Trust sugli accessi critici; riduzione delle porte, dei servizi e degli endpoint esposti rispetto ai periodi precedenti; percentuale complessiva di riduzione delle esposizioni ad alto rischio, come indicatore sintetico dell’efficacia delle attività di remediation.
Il valore di questi KPI emerge soprattutto dalla loro lettura nel tempo, attraverso trend, obiettivi e soglie di rischio e si convertono in informazioni comprensibili per il management, consentendo di misurare il livello di esposizione dell’organizzazione, verificare l’efficacia della remediation, individuare le aree prioritarie e valutare il ritorno degli investimenti in cyber security.
L’obiettivo finale non è quindi semplicemente ridurre il numero di vulnerabilità, ma dimostrare che le azioni intraprese stanno riducendo concretamente la probabilità e l’impatto di un attacco, supportando decisioni più consapevoli sulle priorità e sull’allocazione del budget.
Conclusione
La superficie di attacco cresce e cambia continuamente, soprattutto nei modelli operativi ibridi, aumentando il rischio cyber per il patrimonio informativo e digitale dell’organizzazione.
L’ASM offre un approccio concreto e continuo, contribuendo a scoprire gli asset, anche quelli non conosciuti, comprenderne l’esposizione, ridurre i privilegi e applicare i principi Zero Trust, oltre ad intervenire sulle vulnerabilità secondo priorità di rischio e misurare i risultati.
Pertanto, si consiglia alle organizzazioni di adottare l’ASM come processo continuo, passando da una strategia di cyber security reattiva a una proattiva e orientata al rischio.
La visibilità sugli asset diventa, così, il punto di partenza per governare la superficie di attacco, ridurre l’esposizione e rafforzare nel tempo la sicurezza e la resilienza dell’organizzazione.
Partecipa alla community