Superficie de ataque.

A superficie de ataque de uma organizacao e o conjunto completo de pontos de entrada expostos: ativos voltados a internet, SaaS de terceiros, APIs, endpoints, apps moveis, protocolos de rede, repositorios de codigo-fonte, dispositivos IoT/OT, planos de controlo cloud, identidades e canais humanos suscetiveis a engenharia social. E dinamica e cresce com cada nova funcionalidade, fornecedor e alteracao de configuracao. Os analistas costumam dividi-la na superficie digital (software e servicos expostos), na superficie fisica (dispositivos e suportes) e na superficie social (pessoas alvo de phishing).

A campanha contra o MOVEit Transfer de 2023 e um exemplo de manual. Uma unica falha de injecao de SQL, CVE-2023-34362, residia numa appliance de transferencia de ficheiros voltada a internet; o Shodan mostrava cerca de 2.500 instancias MOVEit expostas no momento da divulgacao, e o grupo de ransomware Cl0p explorou-as como um zero-day para comprometer centenas de organizacoes atraves de uma ponta esquecida da sua superficie. A licao e que os ativos nao geridos ou de "shadow IT" — um bucket S3 de dev, uma appliance VPN abandonada, um subdominio obsoleto vulneravel a takeover — sao exatamente onde os atacantes procuram primeiro.

As ferramentas de gestao da superficie de ataque (ASM) e de gestao da superficie de ataque externa (EASM) descobrem ativos continuamente, fazem o seu fingerprinting e priorizam exposicoes. A reducao apoia-se em hardening, descontinuacao de servicos legados, minimizacao de privilegios, segmentacao de redes, aplicacao rapida de patches a software voltado a internet e remocao de dependencias e contas em desuso.

flowchart TD
  O[Organizacao] --> D[Superficie digital<br/>ativos internet, APIs, SaaS, cloud]
  O --> P[Superficie fisica<br/>endpoints, IoT/OT, suportes]
  O --> S[Superficie social<br/>colaboradores, alvos de phishing]
  D --> EASM[Descoberta continua EASM<br/>+ fingerprinting]
  EASM --> X{Exposicao encontrada?}
  X -->|Sim: ex. MOVEit sem patch| R[Patch / descontinuar /<br/>segmentar / menor privilegio]
  X -->|Nao| M[Manter monitorizacao]
  R --> M