Saltano fuori sottodomini e server dimenticati: un tool di EASM è davvero necessario o è solo un'esagerazione?

I log di Certificate Transparency sono una miniera d'oro. Qualsiasi certificato emesso per il vostro dominio in passato finisce nei registri pubblici. Con un semplice comando open source da terminale potete tirare giù tutti questi record e impostare un cron job che verifichi se sono ancora attivi su DNS. Trova tutto quello che è andato perso senza spendere un euro di licenze.

L'anno scorso, presi dal panico, abbiamo pagato 14.000 dollari per uno di questi tool. In tutto l'anno ci ha segnalato solo tre sottodomini di dev dimenticati e due certificati SSL vicini alla scadenza. Visto che non ne valeva assolutamente la pena, quest'anno non abbiamo rinnovato e siamo passati a uno script Python settimanale scritto da un collega del team.

La maggior parte di questi software sul mercato non sono altro che interfacce carine che interrogano DNS pubblici e database di port scanning. Il marketing la vende come se facessero chissà quale magia. Far pagare un patrimonio alle piccole imprese per questi pannelli è solo una tattica di vendita che fa leva sulle paure aziendali.

La primissima cosa da fare oggi stesso è cancellare tutti i record CNAME inutilizzati dal pannello DNS. I record CNAME orfani che puntano a vecchi provider aprono la strada ad attacchi di subdomain takeover. Prima di pensare a comprare tool, fate pulizia dei record spazzatura nel vostro registrar.

successa la stessa cosa anche a noi lo stagista ha tirato giù i log di cert transparency da terminale e ha beccato i vecchi domini di staging in 15 minuti. invece di buttare 15k l'anno usate quei sooldi x penetration test o audit di sicurezza secondo me.

In ottica di risk management aziendale, mantenere aggiornato l'inventario degli asset è indispensabile per superare gli audit. Tuttavia, gli standard di conformità non richiedono un costoso software di terze parti, bensì un processo documentato e operativo di gestione degli asset. I verbali dei controlli mensili redatti internamente sono più che sufficienti in sede di audit.

Ma su quel server dimenticato c'erano dati reali dei clienti o solo dati sintetici di test? Perché se c'è stato il rischio di un leak di dati effettivi, prima ancora di cercare tool dovreste concentrarvi sull'incident response e sugli obblighi di notifica previsti dalla legge avete verificato la situazione?

Scrivo questo per evitare che facciate lo stesso errore. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Se scrivete qui il risultato, sarà utile anche ad altri.

Sono nella stessa situazione, per questo chiedo. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Confermato dall'esperienza.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Ha ragione... Cercare di farlo da soli è la strada più costosa.

Lascio una nota, potrebbe servire.

Riassumo quanto detto finora. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Questa è la mia opinione non la scrivo come verità assoluta.

Questo approccio ha un costo, di cui non si parla. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Se avete domande scrivete, rispondo per quanto possibile.

Sono d'accordo. La risposta varia molto in base al settore, non esiste una regola generale.

Se avete domande, scrivete, rispondo per quanto possibile.

sono della stessa opinione. un report di scanssione automatica e un penetration test non sono la stessa cosa.

se avete domande scrivete rispondo per quanto possibile.

ho vissuto la stessa cosa... onestamente la risposta varia molto in base al settore, non esiste una reola generale.

se avete domande, scriete rispondo per quanto possibile.

Se scendiamo nei dettagli: La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Naturalmente cambia se la vostra situazione è diversa.

Avete ragione, sono passato anch'io per la stessa strada. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Questa è la mia opinione, non la scrivo come verità assoluta.