L'External Attack Surface Management (EASM) e il processo continuo di scoperta, inventario, classificazione e monitoraggio di tutti gli asset esposti su internet associati a un'organizzazione, inclusi quelli di cui l'organizzazione non è a conoscenza. Gartner prevede che entro il 2026, le organizzazioni che danno priorità alla gestione della superficie di attacco registreranno il 30% in meno di incidenti di sicurezza rispetto a quelle che non lo fanno. La realtà e netta: non puoi proteggere ciò che non vedi, e la maggior parte delle aziende sottostima significativamente le dimensioni della propria superficie di attacco esterna. Uno studio del 2024 di Randori (ora IBM) ha rilevato che l'azienda media ha il 30% in più di asset esposti esternamente rispetto a quanto i team di sicurezza siano consapevoli.
Punti Chiave
- L'EASM scopre asset esposti su internet di cui l'organizzazione non è a conoscenza
- L'azienda media ha il 30% in più di asset esposti rispetto a quanto i team di sicurezza realizzino
- Il monitoraggio continuo batte le valutazioni puntuali perché le superfici di attacco cambiano quotidianamente
- L'EASM trova shadow IT, sottodomini dimenticati, API esposte e credenziali trapelate
- Gartner elenca l'EASM come una delle principali tendenze tecnologiche di sicurezza per il 2025-2026
Cos'è l'External Attack Surface Management?
La superficie di attacco esterna e composta da ogni asset digitale accessibile da internet che potrebbe essere preso di mira da un attaccante. Questo include asset evidenti come il sito web aziendale e i server di posta elettronica, ma anche quelli meno visibili: ambienti di sviluppo accidentalmente esposti al pubblico, istanze cloud shadow IT create da unita aziendali, sottodomini dimenticati che puntano a server dismessi, applicazioni SaaS di terze parti con integrazioni SSO e API che dovevano essere solo interne.
L'EASM e la disciplina della scoperta e gestione continua di questi asset dalla prospettiva di un attaccante. A differenza della gestione tradizionale delle vulnerabilità che parte da un inventario di asset noti, l'EASM parte da zero e scopre ciò che un estraneo può trovare, rispecchiando la fase di ricognizione di un attacco reale.
EASM vs Gestione Tradizionale degli Asset
| Aspetto | Gestione Tradizionale degli Asset | EASM |
|---|---|---|
| Punto di Partenza | Inventario asset noti (CMDB) | Nomi di dominio e range IP |
| Prospettiva | Interna (dall'interno verso l'esterno) | Esterna (dall'esterno verso l'interno, vista dell'attaccante) |
| Copertura | Solo asset gestiti | Tutti gli asset scopribili inclusi quelli sconosciuti |
| Frequenza | Audit periodici | Continua, automatizzata |
| Shadow IT | Non visibile | Attivamente scoperto |
| Rischio di Terze Parti | Richiede valutazione manuale | Mappato automaticamente |
Perché l'EASM e Importante: I Numeri
Il business case per l'EASM e costruito su dati concreti:
- Gartner (2024): Ha elencato l'EASM tra le principali tecnologie di sicurezza emergenti, prevedendo che il 40% delle aziende adottera soluzioni EASM dedicate entro il 2026, rispetto a meno del 10% nel 2022
- IBM X-Force Threat Intelligence Index (2025): Il 32% degli incidenti ha coinvolto lo sfruttamento di applicazioni pubbliche, rendendolo il vettore di accesso iniziale più comune per il terzo anno consecutivo
- Mandiant M-Trends (2025): Gli exploit mirati a sistemi esposti su internet hanno rappresentato il 38% delle intrusioni iniziali, con un tempo mediano di permanenza di 10 giorni per le violazioni rilevate esternamente
- ENISA Threat Landscape (2025): Il 67% degli attacchi contro organizzazioni europee ha sfruttato vulnerabilità note in asset esposti
- Forrester (2024): Le organizzazioni con programmi EASM maturi rilevano e remediano le esposizioni esterne il 60% più velocemente rispetto a quelle senza
Cosa Scopre l'EASM
1. Shadow IT e Asset Sconosciuti
Lo shadow IT si riferisce alla tecnologia implementata senza la conoscenza o l'approvazione dei dipartimenti IT. Gartner stima che il 30-40% della spesa IT nelle grandi aziende sia destinata allo shadow IT. Gli strumenti EASM scoprono istanze cloud, applicazioni SaaS, server di sviluppo e micrositi marketing che esistono al di fuori degli inventari IT ufficiali. Una singola campagna marketing può generare decine di sottodomini e landing page che persistono molto dopo la fine della campagna, ciascuno rappresentando un potenziale punto di ingresso.
2. Sottodomini Dimenticati e Orfani
La proliferazione dei sottodomini e un problema universale. Le organizzazioni accumulano sottodomini nel corso degli anni per progetti, campagne, test e integrazioni con partner. Quando questi vengono abbandonati senza una corretta dismissione, diventano vulnerabili ad attacchi di subdomain takeover. Una ricerca di Detectify ha rilevato che il 20% dei sottodomini analizzati nelle grandi aziende erano potenzialmente vulnerabili al takeover, il che significa che un attaccante potrebbe rivendicarli e servire contenuti malevoli sotto il dominio fidato dell'organizzazione.
3. API e Servizi Esposti
Le API sono la spina dorsale delle applicazioni moderne, ma spesso sono scarsamente inventariate. Il report State of API Security 2024 di Salt Security ha rilevato che il 95% delle organizzazioni ha subito un incidente di sicurezza API nei 12 mesi precedenti, e il 34% delle API in produzione erano "shadow API" non documentate. L'EASM scopre questi endpoint esposti analizzando record DNS, log di trasparenza dei certificati, file JavaScript e risposte delle applicazioni web.
4. Credenziali Trapelate e Dati Sensibili
Le piattaforme EASM monitorano marketplace del dark web, siti di paste, repository di codice e database di violazioni per credenziali trapelate associate al tuo dominio. Secondo il Verizon DBIR 2025, le credenziali rubate erano coinvolte nel 49% delle violazioni. Il rilevamento precoce delle credenziali trapelate consente il reset delle password prima che gli attaccanti possano utilizzarle.
5. Risorse Cloud Mal Configurate
Le configurazioni errate del cloud rimangono una delle principali cause di esposizione dei dati. Il report IBM Cost of a Data Breach 2024 ha rilevato che la configurazione errata del cloud era il vettore di attacco iniziale nel 12% delle violazioni, con un costo medio di 4,14 milioni di USD per incidente. L'EASM identifica bucket di archiviazione pubblicamente accessibili, database con credenziali predefinite e interfacce di gestione cloud esposte su internet.
6. Problemi di Certificati e Crittografia
I certificati SSL/TLS scaduti causano sia rischi di sicurezza che interruzioni del servizio. L'EASM monitora continuamente la validita dei certificati, le versioni dei protocolli e le configurazioni delle cipher suite su tutti gli asset scoperti, garantendo che gli standard di crittografia siano mantenuti uniformemente.
Il Processo EASM
Un programma EASM completo segue un ciclo continuo:
Fase 1: Scoperta
Partendo da dati seed (domini primari, range IP noti, nome dell'organizzazione), gli strumenti EASM eseguono una ricognizione ampia utilizzando enumerazione DNS, analisi dei log di trasparenza dei certificati, dati WHOIS, indicizzazione dei motori di ricerca, analisi delle rotte BGP e web crawling. L'obiettivo e costruire una mappa completa degli asset esposti su internet senza alcun inventario pregresso.
Fase 2: Inventario e Attribuzione
Gli asset scoperti vengono validati e attribuiti all'organizzazione utilizzando segnali di proprieta: record WHOIS, campi organizzazione dei certificati SSL, analisi del contenuto HTML, relazioni della catena DNS e proprieta degli indirizzi IP. Questo passaggio filtra i falsi positivi e costruisce un inventario con punteggio di confidenza.
Fase 3: Classificazione e Punteggio di Rischio
Ogni asset viene classificato per tipo (server web, server di posta, API, database, dispositivo IoT) e valutato per il rischio in base a fattori tra cui: vulnerabilità note (CVE), configurazioni errate, esposizione di servizi sensibili, salute dei certificati, eta dello stack tecnologico e durata dell'esposizione su internet.
Fase 4: Prioritizzazione
I risultati vengono prioritizzati in base alla sfruttabilita, alla criticità aziendale dell'asset interessato e all'impatto potenziale. E qui che l'EASM fornisce il suo valore principale: focalizzare i team di sicurezza sulle esposizioni che contano di più piuttosto che sopraffarli con migliaia di risultati a basso rischio.
Fase 5: Remediation
Viene fornita una guida di remediation attuabile per ogni risultato, inclusi passi specifici per dismissione di asset inutilizzati, patch delle vulnerabilità, correzione delle configurazioni errate o rafforzamento dei controlli di accesso. L'integrazione con sistemi di ticketing (Jira, ServiceNow) automatizza i flussi di lavoro di remediation.
Fase 6: Monitoraggio Continuo
La superficie di attacco non è statica. Nuovi asset appaiono quando i team distribuiscono servizi e nuove vulnerabilità vengono divulgate quotidianamente. Il monitoraggio continuo garantisce che i cambiamenti vengano rilevati entro ore, non mesi. Gli avvisi notificano i team di sicurezza quando appaiono nuove esposizioni critiche o quando problemi precedentemente risolti si ripresentano.
Scoperta Continua vs Puntuale
Le valutazioni di sicurezza tradizionali forniscono un'istantanea della superficie di attacco in un singolo momento. Il problema e che le superfici di attacco sono dinamiche. Una ricerca di CyCognito ha rilevato che la superficie di attacco esterna dell'azienda media cambia del 10% al mese attraverso nuove distribuzioni, dismissioni, eventi di scaling cloud e modifiche di terze parti.
Un vulnerability assessment condotto a gennaio potrebbe perdere un server di sviluppo esposto a febbraio, un sottodominio marketing creato a marzo o un bucket di archiviazione cloud mal configurato ad aprile. Ciascuno di questi rappresenta una finestra di esposizione che solo il monitoraggio continuo può chiudere.
"Entro il 2026, le organizzazioni che utilizzano la gestione continua della superficie di attacco avranno tre volte più probabilità di rilevare e rispondere alle esposizioni esterne entro 24 ore rispetto a quelle che si affidano a valutazioni periodiche." -- Gartner, Emerging Tech: Security - Attack Surface Management, 2024
EASM e Compliance
Diversi framework normativi ora richiedono implicitamente o esplicitamente la visibilità sulla superficie di attacco esterna:
- Direttiva NIS2: L'Articolo 21 richiede "gestione e divulgazione delle vulnerabilità" e "politiche e procedure per valutare l'efficacia delle misure di gestione del rischio di cybersicurezza," entrambe direttamente supportate dall'EASM
- DORA: Richiede una gestione completa del rischio ICT inclusa l'identificazione di tutti gli asset ICT e le loro dipendenze
- ISO 27001:2022: Il Controllo A.8.9 richiede la "gestione delle vulnerabilità tecniche" e il Controllo A.5.9 richiede un "inventario delle informazioni e degli altri asset associati"
- PCI DSS v4.0: Il Requisito 11 richiede test regolari dei sistemi e processi di sicurezza, inclusa la scansione delle vulnerabilità esterne
Iniziare con l'EASM
Le organizzazioni che iniziano il loro percorso EASM dovrebbero:
- Enumerare i dati seed: Compilare tutti i domini primari noti, range IP, account cloud e nomi delle sussidiarie
- Eseguire la scoperta iniziale: Effettuare una prima scansione completa per stabilire una baseline della superficie di attacco esterna
- Prioritizzare i risultati critici: Concentrare la remediation immediata sulle esposizioni critiche e ad alta gravita
- Stabilire la proprieta: Assegnare proprietari degli asset per tutti gli asset scoperti e definire la responsabilità per la remediation
- Implementare il monitoraggio continuo: Configurare scansione e alerting automatizzati per mantenere la visibilità continua
- Integrare con gli strumenti esistenti: Connettere i dati EASM con SIEM, gestione delle vulnerabilità e sistemi di ticketing
La piattaforma RECON di Orizon offre funzionalità EASM complete progettate specificamente per le organizzazioni europee. Fornisce scoperta continua della superficie di attacco esterna, punteggio di rischio automatizzato e guida di remediation attuabile. Combinata con le nostre soluzioni di Attack Surface Management, garantisce che nessun asset rimanga non monitorato e nessuna esposizione non rilevata.
Conclusione
L'External Attack Surface Management si e evoluto da un nice-to-have a una capacità di sicurezza critica. Man mano che le organizzazioni espandono la loro impronta digitale attraverso l'adozione del cloud, la proliferazione di SaaS e la trasformazione digitale, il divario tra asset noti e asset effettivamente esposti si allarga. L'EASM colma questo divario fornendo la visibilità continua dall'esterno verso l'interno che gli strumenti tradizionali non hanno. Le organizzazioni che prosperano nell'attuale panorama delle minacce sono quelle che vedono chiaramente l'intera superficie di attacco e la gestiscono proattivamente.