Всплывают забытые поддомены и серверы: EASM-тулза реально нужна или это перебор?

Логи Certificate Transparency — это золотое дно. Любой сертификат, когда-либо выписанный на ваш домен, навсегда остается в открытых базах. Одной опенсорсной консольной утилитой выгружаете весь список и вешаете на крон проверку, резолвятся ли они в DNS. Находит вообще всё забытое барахло с нулевыми затратами на лицензии.

Мы в прошлом году с перепугу отдали 14 000 долларов за такой сервис. За весь год система прислала алерты только по трем забытым dev-поддоменам и двум протухающим SSL-сертификатам. Поняли, что овчинка выделки не стоит, продлевать не стали и просто перешли на еженедельный python-скрипт, который коллега на коленке набросал.

Большинство таких софтин на рынке — это просто красивая обертка над публичными DNS-серверами и базами сканирования портов. Маркетологи расписывают так будто там какая-то черная магия под капотом. Продавать эти панели малому бизнесу за бешеные деньги — чистой воды спекуляция на корпоративных страхах.

Первым делом прямо сегодня удалите из панели DNS все неиспользуемые CNAME-записи. Висящие в воздухе CNAME, которые указывают на старые сторонние сервисы — прямая дорога к subdomain takeover. Прежде чем присматривать тулзы, наведите порядок в мусоре внутри текущей зоны.

у нас тоже такое было, стажер через терминал дернул логи cert transparency и за 15 минут раскопал старые стейджинги и чем сливать по 15к баксов в год лучше пустите эти деньги на нормальный аудит безопасности или тесты.

С точки зрения оценки корпоративных рисков актуальный инвентарь активов необходим для прохождения аудитов. Однако стандарты соответствия требуют наличия задокументированного и работающего процесса управления активами, а не дорогостоящего стороннего ПО. Ежемесячных отчетов о внутренних проверках для аудиторов будет более чем достаточно.

Слушайте а на том забытом сервере были реальные данные клиентов или просто синтетика для тестов? Если был риск утечки боевой базы, вам сейчас надо не софт выбирать, а срочно заниматься регламентом реагирования на инциденты и юридическими уведомлениями. Вы этот момент проверили?

Пишу это, чтобы вы не совершили ту же ошибку. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Если напишете результат здесь, это поможет и другим.

У меня та же ситуация, поэтому и спрашиваю. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Проверено опытом.

В прошлом году мы столкнулись практически с тем же самым. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Вы правы... честно пытаться сделать это в одиночку — самый дорогой путь.

Оставлю как заметку, пригодится.

Позвольте подвести итог сказанному выше. Когда пытаешься изменить всё сразу, ничего не приживается.

Это мое мнение, не утверждаю, что оно единственно верное.

У этого подхода есть цена, о которой молчат. в общем две недели ведения заметок дают лучший результат чем шестимесячные прогнозы.

Пишите, если есть вопросы отвечу по мере возможности.

Согласен. Ответ сильно зависит от отрасли, универсального правила нет.

Пишите, если есть вопросы, отвечу по мере возможности.

я тоже так считаю. кстати автоматический отчет о сканировании и пентест — это не одно и то же.

пишите, если есть вопросы отвечу по мере возможности.

я сталкивался с тем же.. поотм ну ответ сильно зависит от отрасли, универсального правила нет.

пишите если есть вопросы, отвечу по мере возможности.

Если углубиться в детали: Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Когда пытаешься изменить всё сразу ничего не приживается. честно конечно если ваша ситуация отличается всё меняется.

Вы правы, я сам проходил через это. Без измерений мы всегда приходим к одному и тому же.

Это мое мнение, не утверждаю, что оно единственно верное.