Descubrimos subdominios y servidores olvidados, ¿una herramienta de EASM es imprescindible o pura exageración?

Los registros de transparencia de certificados son una mina de oro. Cada certificado emitido a vuestro dominio queda registrado públicamente. Con un comando de terminal open source podéis sacar todos esos registros y montar un cron job que valide si siguen vivos en el DNS. Encuentra todo lo olvidado con cero coste de licencias.

El año pasado pagamos 14.000 dólares por un susto parecido. En todo el año el sistema solo nos alertó de tres subdominios de dev olvidados y dos certificados SSL a punto de caducar. Vimos que no valía la pena y este año no renovamos; nos pasamos a un script en Python semanal que hizo un compañero del equipo.

La mayoría de esos softwares no son más que interfaces bonitas que consultan servidores DNS públicos y bases de datos de escaneo de puertos. El marketing te lo vende como si fuera magia negra. Que las pymes paguen una fortuna por esos paneles es solo una táctica de venta basada en el miedo corporativo.

Lo primero que tenéis que hacer hoy mismo es borrar los CNAME en desuso de vuestro panel DNS. Los CNAME huérfanos apuntando a proveedores antiguos abren la puerta a ataques de subdominio takeover. Antes de pensar en comprar herramientas, limpiad los registros basura que ya tenéis.

en mi equipo pasó algo parecido, un becario sacó los logs de cert transsparency por terminal y sacó las urls viejas de staging en 15 minutos y antes de soltar 15k al año me gastaría eso en una auditoría de seguridad o en pentesting la verdad.

Desde el punto de vista de gestión de riesgos corporativos, mantener el inventario de activos al día es un requisito para las auditorías. Pero las normas de auditoría no exigen un software caro de terceros, sino un proceso documentado y activo de gestión de activos. Los informes mensuales de revisión que preparéis vosostros mismos son perfectamente válidos.

¿Pero ese servidor olvidado tenía datos reales de clientes o solo datos de prueba sintéticos? Si hubo posibilidad de filtración de datos reales antes de buscar herramientas deberíais enfocaros en la respuesta a incidentes y los requisitos legales de notificación, ¿habéis verificado el estado de esos datos?

Lo escribo para que no cometan el mismo error. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Si escribís el resultado aquí, también servirá de ayuda a otros.

Estoy en la misma situación, por eso pregunto. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Comprobado por experiencia.

El año pasado nos pasó casi exactamente lo mismo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Tiene razón. Intentar hacerlo solo es la vía más cara.

Lo dejo como nota, por si sirve.

Permíteme resumir lo que se ha dicho hasta ahora. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Esta es mi opinión no lo escribo como una verdad absoluta.

Este enfoque tiene un coste, y no se habla de ello. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

Estoy de acuerdo. La respuesta varía mucho según el sector, no hay una regla general.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

yo también pienso lo mismmo luego pues un informe de escaneo automático no es lo mismo que una prueba de penetración.

si tenéis dudas esribid os responderé en la medida de lo posible.

me pasó lo mismo. bueno la respuesta varía mucho según el sector no hay una regla general.

si tenéis dudas escribid, os respponderé en la medida de lo posible.

Entrando en detalle: La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. o sea por supuesto, cambia si tu situación es diferente.

Tienes razón, yo también pasé por lo mismo. Si decidimos sin medir, siempre acabamos en el mismo punto.

Esta es mi opinión, no lo escribo como una verdad absoluta.