External Attack Surface Management: De Ce Nu Poți Proteja Ce Nu Poți Vedea

External Attack Surface Management (EASM) este procesul continuu de descoperire, inventariere, clasificare și monitorizare a tuturor activelor expuse pe internet asociate unei organizații, inclusiv cele pe care organizația nu știe că le are. Gartner estimează că, până în 2026, organizațiile care prioritizează gestionarea suprafeței de atac vor înregistra cu 30% mai puține incidente de securitate decât cele care nu o fac. Realitatea este dură: nu poți proteja ce nu poți vedea, iar majoritatea companiilor subestimează semnificativ dimensiunea propriei suprafețe de atac externă. Un studiu din 2024 realizat de Randori (acum IBM) a constatat că o companie obișnuită are cu 30% mai multe active expuse extern decât conștientizează echipele sale de securitate.

Ce este External Attack Surface Management?

Suprafața ta de atac externă este formată din fiecare activ digital accesibil de pe internet și care ar putea fi vizat de un atacator. Aceasta include active evidente, precum site-ul web corporativ și serverele de e-mail, dar și altele mai puțin vizibile: medii de dezvoltare expuse accidental publicului, instanțe cloud de Shadow IT create de unități de business, subdomenii uitate care indică spre servere scoase din uz, aplicații SaaS de la terți cu integrări SSO și API-uri care ar fi trebuit să fie doar interne.

EASM este disciplina de a descoperi și gestiona continuu aceste active din perspectiva unui atacator. Spre deosebire de gestionarea tradițională a vulnerabilităților, care pornește de la un inventar de active cunoscute, EASM pornește de la zero și descoperă ceea ce poate găsi un outsider, oglindind faza de recunoaștere a unui atac real.

EASM vs gestionarea tradițională a activelor

Aspect	Gestionarea tradițională a activelor	EASM
Punct de plecare	Inventar de active cunoscute (CMDB)	Nume de domenii și intervale IP
Perspectivă	Internă (din interior spre exterior)	Externă (din exterior spre interior, viziunea atacatorului)
Acoperire	Doar active gestionate	Toate activele descoperibile, inclusiv cele necunoscute
Frecvență	Audituri periodice	Continuă, automatizată
Shadow IT	Nu este vizibil	Descoperit activ
Risc de la terți	Necesită evaluare manuală	Mapat automat

De ce contează EASM: cifrele

Argumentul de business pentru EASM se bazează pe date concrete:

• Gartner (2024): A listat EASM printre principalele tehnologii de securitate emergente, estimând că 40% dintre companii vor adopta soluții EASM dedicate până în 2026, față de mai puțin de 10% în 2022
• IBM X-Force Threat Intelligence Index (2025): 32% dintre incidente au implicat exploatarea aplicațiilor publice, făcând din aceasta cel mai frecvent vector de acces inițial pentru al treilea an consecutiv
• Mandiant M-Trends (2025): Exploit-urile care vizează sisteme expuse pe internet au reprezentat 38% dintre intruziunile inițiale, cu un timp median de persistență de 10 zile pentru breșele detectate extern
• ENISA Threat Landscape (2025): 67% dintre atacurile împotriva organizațiilor europene au exploatat vulnerabilități cunoscute din active expuse
• Forrester (2024): Organizațiile cu programe EASM mature detectează și remediază expunerile externe cu 60% mai rapid decât cele fără

Ce descoperă EASM

1. Shadow IT și active necunoscute

Shadow IT se referă la tehnologia implementată fără cunoștința sau aprobarea departamentelor IT. Gartner estimează că 30-40% din cheltuielile IT din companiile mari se îndreaptă către Shadow IT. Instrumentele EASM descoperă instanțe cloud, aplicații SaaS, servere de dezvoltare și microsite-uri de marketing care există în afara inventarelor IT oficiale. O singură campanie de marketing poate genera zeci de subdomenii și landing page-uri care persistă mult după încheierea campaniei, fiecare reprezentând un potențial punct de intrare.

2. Subdomenii uitate și orfane

Proliferarea subdomeniilor este o problemă universală. Organizațiile acumulează subdomenii de-a lungul anilor pentru proiecte, campanii, testare și integrări cu parteneri. Când acestea sunt abandonate fără o scoatere din uz corespunzătoare, devin vulnerabile la atacuri de tip subdomain takeover. O cercetare Detectify a constatat că 20% dintre subdomeniile analizate în companiile mari erau potențial vulnerabile la takeover, ceea ce înseamnă că un atacator le-ar putea revendica și ar putea servi conținut malițios sub domeniul de încredere al organizației.

3. API-uri și servicii expuse

API-urile sunt coloana vertebrală a aplicațiilor moderne, dar deseori sunt slab inventariate. Raportul State of API Security 2024 de la Salt Security a constatat că 95% dintre organizații au avut un incident de securitate API în ultimele 12 luni, iar 34% dintre API-urile din producție erau „shadow API-uri” nedocumentate. EASM descoperă aceste endpoint-uri expuse analizând înregistrări DNS, log-uri de transparență a certificatelor, fișiere JavaScript și răspunsuri ale aplicațiilor web.

4. Credențiale scurse și date sensibile

Platformele EASM monitorizează marketplace-uri de pe dark web, site-uri de paste, repository-uri de cod și baze de date cu breșe pentru credențiale scurse asociate domeniului tău. Conform Verizon DBIR 2025, credențialele furate au fost implicate în 49% dintre breșe. Detectarea timpurie a credențialelor scurse permite resetarea parolelor înainte ca atacatorii să le poată folosi.

5. Resurse cloud configurate greșit

Configurările greșite ale cloud-ului rămân o cauză principală a expunerii datelor. Raportul IBM Cost of a Data Breach 2024 a constatat că o configurare greșită a cloud-ului a fost vectorul de atac inițial în 12% dintre breșe, cu un cost mediu de 4,14 milioane USD per incident. EASM identifică bucket-uri de stocare accesibile public, baze de date cu credențiale implicite și interfețe de administrare cloud expuse pe internet.

6. Probleme de certificate și criptare

Certificatele SSL/TLS expirate provoacă atât riscuri de securitate, cât și întreruperi ale serviciilor. EASM monitorizează continuu validitatea certificatelor, versiunile de protocol și configurațiile de cipher suite pe toate activele descoperite, asigurând menținerea uniformă a standardelor de criptare.

Procesul EASM

Un program EASM complet urmează un ciclu continuu:

Faza 1: Descoperire

Pornind de la date de tip seed (domenii primare, intervale IP cunoscute, numele organizației), instrumentele EASM efectuează o recunoaștere amplă folosind enumerare DNS, analiza log-urilor de transparență a certificatelor, date WHOIS, indexarea motoarelor de căutare, analiza rutelor BGP și web crawling. Scopul este să construiască o hartă completă a activelor expuse pe internet fără niciun inventar prealabil.

Faza 2: Inventariere și atribuire

Activele descoperite sunt validate și atribuite organizației folosind semnale de proprietate: înregistrări WHOIS, câmpurile de organizație din certificatele SSL, analiza conținutului HTML, relațiile din lanțul DNS și proprietatea adreselor IP. Acest pas filtrează falsurile pozitive și construiește un inventar cu scor de încredere.

Faza 3: Clasificare și scor de risc

Fiecare activ este clasificat după tip (server web, server de mail, API, bază de date, dispozitiv IoT) și primește un scor de risc pe baza unor factori precum: vulnerabilități cunoscute (CVE-uri), configurări greșite, expunerea serviciilor sensibile, starea certificatelor, vechimea stack-ului tehnologic și durata expunerii pe internet.

Faza 4: Prioritizare

Constatările sunt prioritizate în funcție de exploatabilitate, criticitatea de business a activului afectat și impactul potențial. Aici EASM își oferă valoarea principală: concentrarea echipelor de securitate asupra expunerilor care contează cel mai mult, în loc să le copleșească cu mii de constatări cu risc scăzut.

Faza 5: Remediere

Pentru fiecare constatare se oferă îndrumare de remediere acționabilă, inclusiv pași specifici pentru scoaterea din uz a activelor neutilizate, aplicarea de patch-uri pentru vulnerabilități, corectarea configurărilor greșite sau consolidarea controalelor de acces. Integrarea cu sisteme de ticketing (Jira, ServiceNow) automatizează fluxurile de lucru de remediere.

Faza 6: Monitorizare continuă

Suprafața de atac nu este statică. Apar active noi pe măsură ce echipele implementează servicii, iar noi vulnerabilități sunt divulgate zilnic. Monitorizarea continuă asigură că schimbările sunt detectate în ore, nu în luni. Alertele notifică echipele de securitate atunci când apar noi expuneri critice sau când probleme remediate anterior reapar.

Descoperire continuă vs. punctuală

Evaluările tradiționale de securitate oferă o instantanee a suprafeței tale de atac la un singur moment. Problema este că suprafețele de atac sunt dinamice. O cercetare CyCognito a constatat că suprafața de atac externă a unei companii obișnuite se schimbă cu 10% pe lună prin noi implementări, scoateri din uz, evenimente de scalare cloud și modificări ale terților.

O evaluare a vulnerabilităților efectuată în ianuarie poate rata un server de dezvoltare expus în februarie, un subdomeniu de marketing creat în martie sau un bucket de stocare cloud configurat greșit în aprilie. Fiecare dintre acestea reprezintă o fereastră de expunere pe care doar monitorizarea continuă o poate închide.

"Până în 2026, organizațiile care folosesc gestionarea continuă a suprafeței de atac vor avea de trei ori mai multe șanse să detecteze și să răspundă la expunerile externe în 24 de ore, comparativ cu cele care se bazează pe evaluări periodice." -- Gartner, Emerging Tech: Security - Attack Surface Management, 2024

EASM și conformitatea

Mai multe cadre de reglementare cer acum, implicit sau explicit, vizibilitate asupra suprafeței de atac externă:

• Directiva NIS2: Articolul 21 impune „gestionarea și divulgarea vulnerabilităților” și „politici și proceduri pentru evaluarea eficacității măsurilor de gestionare a riscurilor de securitate cibernetică”, ambele fiind susținute direct de EASM
• DORA: Impune o gestionare cuprinzătoare a riscurilor ICT, inclusiv identificarea tuturor activelor ICT și a dependențelor lor
• ISO 27001:2022: Controlul A.8.9 impune „gestionarea vulnerabilităților tehnice”, iar Controlul A.5.9 impune un „inventar al informațiilor și al altor active asociate”
• PCI DSS v4.0: Cerința 11 impune testarea regulată a sistemelor și proceselor de securitate, inclusiv scanarea vulnerabilităților externe

Cum începi cu EASM

Organizațiile care își încep parcursul EASM ar trebui să:

1. Enumeră datele de tip seed: Adună toate domeniile primare cunoscute, intervalele IP, conturile cloud și numele filialelor
2. Rulează descoperirea inițială: Efectuează o primă scanare cuprinzătoare pentru a stabili o bază de referință a suprafeței tale de atac externă
3. Prioritizează constatările critice: Concentrează remedierea imediată asupra expunerilor critice și de severitate ridicată
4. Stabilește proprietatea: Atribuie proprietari pentru toate activele descoperite și definește responsabilitatea pentru remediere
5. Implementează monitorizarea continuă: Configurează scanarea și alertarea automatizate pentru a menține vizibilitatea permanentă
6. Integrează cu instrumentele existente: Conectează datele EASM cu SIEM-ul tău, gestionarea vulnerabilităților și sistemele de ticketing

Platforma RECON de la Orizon oferă capabilități EASM complete, create special pentru organizațiile europene. Aceasta oferă descoperirea continuă a suprafeței tale de atac externă, scor de risc automatizat și îndrumare de remediere acționabilă. Combinată cu soluțiile noastre de Attack Surface Management, se asigură că niciun activ nu rămâne nemonitorizat și nicio expunere nedetectată.

Concluzie

External Attack Surface Management a evoluat de la un „nice-to-have” la o capabilitate de securitate critică. Pe măsură ce organizațiile își extind amprenta digitală prin adoptarea cloud-ului, proliferarea SaaS și transformarea digitală, decalajul dintre activele cunoscute și cele efectiv expuse se lărgește. EASM închide acest decalaj oferind vizibilitatea continuă, din exterior spre interior, pe care instrumentele tradiționale nu o au. Organizațiile care prosperă în peisajul actual al amenințărilor sunt cele care își văd clar întreaga suprafață de atac și o gestionează proactiv.