EASM — Gestão da Superfície de Ataque Externa // MÓDULOS

EASM — Gestão da Superfície de Ataque Externa

Mapeamento do que a organização expõe para fora, partindo de sementes que ela declara. O módulo descobre ativos, registra achados de risco e mantém o grafo de como cada coisa se liga à outra — sem tocar no alvo de forma intrusiva.

Visão Geral

A unidade de trabalho é o perímetro: um escopo nomeado dentro da organização, como “produção” ou “ambiente de homologação”. Cada perímetro recebe sementes de quatro tipos — CNPJ, domínio, faixa de IP em CIDR e domínio de e-mail — e cada tipo aciona um pipeline diferente.

A semente de CNPJ é a que muda o jogo no Brasil. A partir dela a plataforma consulta a base pública da Receita Federal já indexada, encontra as filiais pelo CNPJ básico, levanta os sócios e sinaliza CNAE de alto risco como achado. É o caminho para descobrir a subsidiária que ninguém do time de segurança sabia que existia — o cenário clássico de fusão e aquisição.

Descoberta Passiva por Princípio

A coleta é consulta de DNS mais handshake TLS. Nenhum payload é enviado ao alvo. Três regras de segurança são aplicadas antes de qualquer resultado virar ativo:

  • IP privado, de loopback, de link-local ou multicast retornado pelo DNS é descartado, para que o inventário externo não vaze topologia interna;
  • domínios .local, .internal e .localhost são bloqueados na entrada;
  • toda execução tem teto — 500 ativos, 1.000 achados, 500 relacionamentos e 50 registros por tipo de DNS. Uma zona hostil ou mal configurada não derruba a ingestão.

Os ativos descobertos têm nove tipos (domínio, subdomínio, IP, e-mail, subsidiária por CNPJ, certificado, aplicação, servidor MX e servidor NS), e cada um carrega a origem da descoberta: registro A/AAAA, MX, NS, TXT, CNAME, SAN de certificado, consulta de CNPJ, correlação com vazamento ou entrada manual. O grafo liga ativos por nove tipos de relação — resolve para, usa MX, usa NS, hospeda, possui domínio, tem certificado, subsidiária de, encontrado em vazamento e correlaciona com.

Score que se Explica

O risco de um ativo é a soma dos pontos dos achados abertos, limitada a 100. Certificado expirado vale 25 pontos, subdomínio de desenvolvimento exposto vale 20, certificado autoassinado vale 15, certificado prestes a expirar vale 10.

A consequência prática é que o número é auditável: dá para apontar exatamente quais achados o compõem, e o score cai sozinho quando um achado é fechado, reconhecido ou marcado como falso positivo. Cada perímetro mantém, além disso, contagem de ativos, de achados abertos, de críticos e de altos, e a média de risco dos ativos ativos.

Cronograma

Verificação de certificados às 03:00 UTC, correlação com vazamentos às 04:00, recálculo de risco às 05:00, arquivamento de achados às 02:00, e monitoramento contínuo a cada 6 horas — que rechecagem DNS, confere as portas 80, 443, 8080 e 8443 e compara com o retrato anterior para emitir achado de mudança, com teto de 100 ativos por execução. Descoberta por domínio e por CNPJ, detecção de typosquatting e busca por subdomain takeover rodam sob demanda.

Recursos

  • Doze tipos de achado, incluindo subdomain takeover, typosquat candidato, shadow IT, porta administrativa exposta e credencial vazada correlacionada
  • Detecção de subdomain takeover por CNAME apontando para serviço não reclamado, com assinaturas de GitHub Pages, Heroku, Fastly, Shopify, Zendesk, AWS S3, Azure, Bitbucket e Netlify
  • Typosquatting via dnstwist, com teto de 500 variações por execução, tempo limite de 3 segundos por consulta DNS e paralelismo controlado
  • Correlação com o módulo Leaks: ativo de e-mail ou domínio que aparece em impressão digital de vazamento vira achado
  • Ciclo de vida do achado em quatro estados: aberto, reconhecido, falso positivo, corrigido
  • Registro de programas de bug bounty e VDP (BugHunt, HackerOne, Bugcrowd, Intigriti, YesWeHack, HackenProof)

Casos de Uso

  • Inventariar o perímetro de um grupo econômico a partir do CNPJ, incluindo filiais
  • Encontrar shadow IT: subdomínio de desenvolvimento ou homologação acessível de fora
  • Antecipar interrupção por certificado vencendo, com 30 dias de antecedência
  • Preparar escopo de pentest com a lista do que realmente está exposto

O Que o Módulo Não Faz

  • Não faz varredura de vulnerabilidade. Não envia exploit, não testa payload, não autentica em aplicação.
  • Não usa CVSS nem EPSS. O score é soma de pontos por achado, não pontuação de vulnerabilidade de terceiro.
  • Não faz port scan amplo: o monitoramento contínuo confere quatro portas de serviço web.
  • Não consulta Shodan, Censys ou BinaryEdge, nem inventaria recurso de nuvem pelas APIs de AWS, Azure ou GCP.
  • Não descobre ativo interno — IP privado é regra de descarte, não limitação temporária.
  • typosquat_candidate é candidato. A confirmação de intenção maliciosa é análise humana, e o encaminhamento é pelo módulo Legal & Takedown.

Integrações

  • Airflow (orquestração) e OpenSearch (histórico de achados, ooda_easm_findings-*)
  • Base pública de CNPJ da Receita Federal, indexada na plataforma
  • dnstwist, para geração de variações de domínio
  • OODA Leaks e OODA Search

SLA & Garantias

Coleta estritamente passiva · IP privado nunca é indexado · score rastreável até o achado que o gerou

Próximos Passos