Angrebsflade

NIST definerer angrebsfladen som de punkter på grænsen af et system, et systemelement eller et miljø, hvor en angriber kan forsøge at komme ind, påvirke det eller trække data ud. I praksis deles den typisk i en digital flade (netværkstjenester, webapplikationer og API'er, fjernadgangsgateways, cloudlagring, identitetsendpoints), en fysisk flade (enheder, porte, lokaler) og en menneskelig flade til social engineering (medarbejdere, servicedesk, leverandører med adgang). Afhængigheder i softwareforsyningskæden og SaaS-integrationer er blevet en fjerde kategori, fordi et kompromitteret OAuth-samtykke eller en build-afhængighed når ind bag grænsen uden at røre en eneste åben port.

Forsøg på at måle fladen går tilbage til Michael Howards Relative Attack Surface Quotient hos Microsoft i begyndelsen af 2000'erne, der talte og vægtede "angrebsvektorer" som åbne sockets, tjenester, der kører som SYSTEM, og svage ACL'er. Manadhata og Wing formaliserede senere et mål i tre dimensioner: indgangs- og udgangspunkter (metoder, der modtager eller sender data), kanaler (sockets, pipes, RPC-endpoints) og ubetroede dataelementer (filer, registreringsnøgler, databaserækker), hver vægtet efter forholdet mellem skadespotentiale og indsats. Pointen er, at fladen ikke blot er et antal porte; ét endpoint, der kører med høje rettigheder eller tager imod uautentificeret input, vejer mere end ti skrivebeskyttede.

I driften bruges external attack surface management (EASM) til at finde ud af, hvad der faktisk er eksponeret udefra, via DNS-opslag, certificate transparency-logs, internetdækkende scanningsdata og cloududbydernes inventarer, som så sammenlignes med CMDB'en. Typiske fund er glemte subdomæner, der kan overtages, testmiljøer med produktionsdata, eksponeret RDP eller administrationsflader og lagerbuckets med offentlig læseadgang. Internt bruges angrebsfladeanalyse i designgennemgange til at liste indgangspunkter pr. tillidsgrænse, hvilket fødes direkte ind i trusselsmodelleringen.

Reduktion følger få principper: fjern det, der ikke er brug for (hærdning, udfasning), begræns, hvem der kan nå det, der er tilbage (segmentering, allowlists, autentificering foran administrationsflader), og sænk rettighederne bag hvert indgangspunkt. En udbredt misforståelse er, at få CVE'er betyder en lille flade; sårbarheder er fejl i fladen, ikke selve fladen, og en upatchet tjeneste, som ingen kender til, er usynlig for sårbarhedsscanning, der kun dækker kendte aktiver. Angrebsfladen er også noget andet end trusselsbilledet: den ene beskriver ens egen eksponering, det andet de aktører og teknikker, der kan udnytte den.