EASM — Gestione della Superficie di Attacco Esterna // MODULI

EASM — Gestione della Superficie di Attacco Esterna

Mappatura di ciò che l’organizzazione espone verso l’esterno, a partire dai semi che essa stessa dichiara. Il modulo scopre asset, registra finding di rischio e mantiene il grafo di come ogni elemento si lega agli altri — senza mai toccare il bersaglio in modo intrusivo.

Panoramica

L’unità di lavoro è il perimetro: un ambito con un nome all’interno dell’organizzazione, per esempio “produzione” o “ambiente di collaudo”. Ogni perimetro riceve semi di quattro tipi — CNPJ (il codice fiscale delle imprese brasiliane), dominio, intervallo di IP in notazione CIDR e dominio di posta elettronica — e ciascun tipo attiva una pipeline diversa.

Il seme CNPJ è quello che cambia le regole del gioco in Brasile. Da esso la piattaforma interroga la banca dati pubblica dell’Agenzia delle Entrate brasiliana (Receita Federal), già indicizzata, individua le filiali tramite la radice del CNPJ, ricostruisce la compagine societaria e segnala come finding i codici di attività economica (CNAE) ad alto rischio. È la strada per scoprire la controllata di cui nessuno nel team di sicurezza conosceva l’esistenza — lo scenario classico delle fusioni e acquisizioni.

Scoperta passiva per principio

La raccolta consiste in interrogazioni DNS più handshake TLS. Nessun payload viene inviato al bersaglio. Tre regole di sicurezza vengono applicate prima che un qualsiasi risultato diventi un asset:

  • un IP privato, di loopback, link-local o multicast restituito dal DNS viene scartato, perché l’inventario esterno non riveli la topologia interna;
  • i domini .local, .internal e .localhost sono bloccati in ingresso;
  • ogni esecuzione ha un tetto — 500 asset, 1.000 finding, 500 relazioni e 50 record per tipo di DNS. Una zona ostile o mal configurata non manda in crisi l’ingestione.

Gli asset scoperti si dividono in nove tipi (dominio, sottodominio, IP, e-mail, controllata individuata via CNPJ, certificato, applicazione, server MX e server NS), e ciascuno porta con sé l’origine della scoperta: record A/AAAA, MX, NS, TXT, CNAME, SAN del certificato, interrogazione CNPJ, correlazione con una fuga di dati o inserimento manuale. Il grafo collega gli asset con nove tipi di relazione — risolve verso, usa MX, usa NS, ospita, possiede il dominio, ha certificato, è controllata di, trovato in una fuga di dati e correlato con.

Un punteggio che si spiega da sé

Il rischio di un asset è la somma dei punti dei finding aperti, con tetto a 100. Un certificato scaduto vale 25 punti, un sottodominio di sviluppo esposto ne vale 20, un certificato autofirmato 15, un certificato prossimo alla scadenza 10.

La conseguenza pratica è che il numero è verificabile: si può indicare esattamente da quali finding è composto, e il punteggio scende da solo quando un finding viene chiuso, riconosciuto o marcato come falso positivo. Ogni perimetro mantiene inoltre il conteggio degli asset, dei finding aperti, di quelli critici e di quelli alti, oltre alla media di rischio degli asset attivi.

Pianificazione

Verifica dei certificati alle 03:00 UTC, correlazione con le fughe di dati alle 04:00, ricalcolo del rischio alle 05:00, archiviazione dei finding alle 02:00 e monitoraggio continuo ogni 6 ore — che ricontrolla il DNS, verifica le porte 80, 443, 8080 e 8443 e confronta con l’istantanea precedente per emettere un finding di variazione, con un tetto di 100 asset per esecuzione. Scoperta per dominio e per CNPJ, rilevamento del typosquatting e ricerca di subdomain takeover girano su richiesta.

Funzionalità

  • Dodici tipi di finding, tra cui subdomain takeover, candidato typosquat, shadow IT, porta amministrativa esposta e credenziale trapelata correlata
  • Rilevamento del subdomain takeover tramite CNAME che punta a un servizio non reclamato, con le firme di GitHub Pages, Heroku, Fastly, Shopify, Zendesk, AWS S3, Azure, Bitbucket e Netlify
  • Typosquatting via dnstwist, con tetto di 500 varianti per esecuzione, timeout di 3 secondi per interrogazione DNS e parallelismo controllato
  • Correlazione con il modulo Leaks: un asset di tipo e-mail o dominio che compare in un’impronta digitale di fuga di dati diventa un finding
  • Ciclo di vita del finding in quattro stati: aperto, riconosciuto, falso positivo, risolto
  • Registro dei programmi di bug bounty e VDP (BugHunt, HackerOne, Bugcrowd, Intigriti, YesWeHack, HackenProof)

Casi d’uso

  • Inventariare il perimetro di un gruppo societario a partire dal CNPJ, filiali comprese
  • Scovare lo shadow IT: sottodomini di sviluppo o collaudo raggiungibili dall’esterno
  • Prevenire un’interruzione dovuta a un certificato in scadenza, con 30 giorni di anticipo
  • Preparare l’ambito di un penetration test con l’elenco di ciò che è davvero esposto

Ciò che il modulo non fa

  • Non esegue scansioni di vulnerabilità. Non invia exploit, non testa payload, non si autentica nelle applicazioni.
  • Non usa CVSS né EPSS. Il punteggio è una somma di punti per finding, non un punteggio di vulnerabilità di terze parti.
  • Non esegue port scan estesi: il monitoraggio continuo verifica quattro porte di servizi web.
  • Non interroga Shodan, Censys o BinaryEdge, e non inventaria risorse cloud tramite le API di AWS, Azure o GCP.
  • Non scopre asset interni — l’IP privato è una regola di scarto, non una limitazione temporanea.
  • typosquat_candidate è un candidato. La conferma dell’intento malevolo è analisi umana, e l’inoltro passa dal modulo Legal & Takedown.

Integrazioni

  • Airflow (orchestrazione) e OpenSearch (storico dei finding, ooda_easm_findings-*)
  • Banca dati pubblica dei CNPJ della Receita Federal brasiliana, indicizzata nella piattaforma
  • dnstwist, per la generazione delle varianti di dominio
  • OODA Leaks e OODA Search

SLA e garanzie

Raccolta rigorosamente passiva · l’IP privato non viene mai indicizzato · punteggio tracciabile fino al finding che lo ha generato

Passi successivi