Quando perguntamos a uma organização quantos ativos ela tem expostos à internet, a resposta costuma ser um número redondo e baixo. O site institucional, o e-mail, talvez um portal de clientes. Três, quatro coisas.
Quando rodamos a descoberta, o número real é sistematicamente maior. Não por dois ou três: por uma ordem de grandeza, em organizações de porte médio.
A diferença entre esses dois números é a definição prática de superfície de ataque: não é o que você publicou, é tudo o que ficou publicado.
De onde vem a diferença
Os ativos que aparecem e ninguém lembra têm origens bastante repetidas.
O que sobreviveu a um projeto. O ambiente de testes de uma migração que terminou há dois anos. O subdomínio da campanha de marketing de 2023. O portal do fornecedor que deixou de ser usado, mas nunca foi desativado. Continuam respondendo, com o software do dia em que foram abandonados.
O que um terceiro levantou. A agência que publicou uma landing em um subdomínio delegado a ela. O fornecedor que expôs um painel de administração para dar suporte. O integrador que deixou aberto um endpoint de testes. Existem sob o domínio da organização e nunca passaram pela área de TI dela.
O que ficou no DNS. Registros que apontam para serviços que já não existem ou para fornecedores que já não são usados. Quando esse destino é liberado, o registro órfão habilita um subdomain takeover: alguém reivindica esse recurso no provedor e passa a controlar conteúdo servido a partir de um subdomínio com o nome da empresa. É um dos achados com pior relação entre impacto e esforço de exploração.
O que deixou rastro no passado. Rotas e parâmetros que ficaram registrados em arquivos históricos da web e seguem alcançáveis, mesmo que já não estejam vinculados de lugar algum.
Os achados que mais se repetem
Sem entrar em detalhes que não cabe publicar, há um punhado de achados que aparecem uma e outra vez.
Painéis de administração acessíveis de qualquer origem. Interfaces de gestão —de CMS, de dispositivos de rede, de bancos de dados, de ferramentas de monitoramento— alcançáveis pela internet sem restrição de origem. Na maioria dos casos não há uma decisão por trás: ficou assim desde a instalação.
Certificados TLS mal geridos. Vencidos, emitidos para outro nome, ou cadeias incompletas que só falham em alguns clientes. Raramente é um problema grave de segurança por si só, mas é um indicador confiável de que ninguém está olhando aquele ativo.
Serviços de administração remota expostos. Acesso remoto publicado diretamente, sem camada intermediária, sem restrição por origem e às vezes sem segundo fator.
Cabeçalhos e respostas que contam demais. Versões exatas de servidores e frameworks, mensagens de erro com rastros internos, caminhos do sistema de arquivos. Nada disso é uma vulnerabilidade, mas poupa tempo de reconhecimento a quem procura uma.
Software sem atualizar em ativos esquecidos. O servidor que ninguém mantém porque ninguém sabe que existe é, quase por definição, o mais desatualizado do parque.
Um padrão atravessa a lista: quase nenhum achado grave aparece no ativo principal. O site institucional costuma estar razoavelmente cuidado. Os problemas estão na periferia, no que não está no inventário.
Por que a análise anual não basta
A análise de vulnerabilidades tradicional é executada sobre um escopo definido: uma lista de IPs ou de domínios que alguém preparou. É útil e continua sendo necessária, mas tem duas limitações estruturais.
A primeira: herda o erro do inventário. Se o ativo esquecido não está na lista, não é analisado. E o ativo esquecido é exatamente onde está o problema.
A segunda: é uma foto. Entre duas análises anuais, a organização publica, migra, contrata fornecedores e encerra projetos. A exposição de março não descreve a de outubro.
A gestão de superfície de ataque inverte as duas coisas: descobre em vez de partir de uma lista, e monitora de forma contínua em vez de fotografar. A pergunta que responde não é “estas máquinas têm vulnerabilidades?”, e sim “o que há hoje publicado com o nosso nome e o que mudou desde ontem?”.
O que fazemos no SORT ASM
Nosso serviço de Attack Surface Management monitora de forma contínua até dois IPs ou domínios e integra os achados ao ciclo de riscos do SGSI. As técnicas que combina:
- Subdomain enumeration e DNS recon: descoberta do espaço de nomes real, além do inventário declarado.
- Subdomain takeover: detecção de registros órfãos que apontam para recursos liberados.
- Historical URLs: rotas e parâmetros registrados historicamente que seguem alcançáveis.
- HTTP probe: identificação do que cada ativo responde, com qual tecnologia e o que expõe em seus cabeçalhos.
- Shodan / Censys: correlação com o que os buscadores de dispositivos já indexaram da organização.
- Port scan e SSL/TLS: serviços acessíveis e estado real dos certificados e da configuração criptográfica.
O entregável não é um despejo de ferramenta. É um conjunto delimitado de achados priorizados por criticidade, com contexto sobre por que cada um importa naquela organização em particular, e com a mudança em relação ao período anterior.
O ponto de partida
Antes de contratar qualquer coisa, há um exercício que organiza a conversa e não custa dinheiro: pedir à TI a lista de tudo o que a organização tem publicado e confrontá-la com o que aparece no DNS público.
A distância entre essas duas listas é a sua superfície de ataque não gerida. Na nossa experiência, essa distância é o que mais rápido convence uma direção de que o problema existe.
O SORT ASM faz parte dos níveis Advanced e Complete do nosso modelo de serviço.