Il mercato dell’Attack Surface Management ha una caratteristica insolita: tutti i fornitori descrivono il prodotto con le stesse quattro parole. Scoprire, inventariare, monitorare, ridurre. Cambia il logo, non la frase.
Il motivo è che fanno davvero la stessa cosa. La differenza fra le piattaforme non sta in cosa promettono, ma in quanto sono precise nella parte che nessuno racconta: capire quali degli asset trovati sono effettivamente vostri.
E c’è una seconda cosa che nelle presentazioni non compare. Uno strumento ASM produce un elenco. L’elenco non è una decisione.
Come funziona davvero la scoperta
Una piattaforma di attack surface management parte da pochissimo. Di solito un nome di dominio, a volte il nome dell’azienda. Quel punto di partenza si chiama seed, seme, e da lì lo strumento espande.
Il primo canale sono i registri pubblici dei certificati. Ogni volta che qualcuno emette un certificato TLS per un sottodominio, quell’emissione finisce in un log pubblico e consultabile. È un meccanismo di trasparenza nato per sicurezza, e funziona: permette di accorgersi se qualcuno emette certificati a vostro nome. Ha però un effetto collaterale preciso. Nel momento in cui pubblicate un sottodominio in HTTPS, lo state annunciando al mondo.
Il secondo canale sono i dati di registrazione. Chi ha registrato il dominio, con quale indirizzo di posta, quali altri domini risultano registrati dallo stesso soggetto. Da lì si arriva a proprietà che nessuno collega più all’azienda: il dominio comprato per una campagna di cinque anni fa, quello di un marchio dismesso, quello di una società acquisita.
Il terzo sono gli intervalli di indirizzi IP. Se l’azienda ha un proprio blocco di indirizzi, l’assegnazione è pubblica. Se usa il cloud, gli indirizzi appartengono al provider, ed è qui che la faccenda si complica.
Il quarto è la scansione della rete pubblica. Alcune organizzazioni scandagliano internet in continuo e mantengono archivi consultabili di cosa risponde su ciascun indirizzo e su quale porta. Le piattaforme ASM ci si appoggiano invece di rifare il lavoro.
Nessuno di questi canali tocca i vostri sistemi. È il punto: lo strumento vede quello che vede un attaccante nella fase di ricognizione, usando le stesse fonti che userebbe lui. Su questo approccio abbiamo scritto in modo più esteso a proposito della ricerca OSINT applicata alla difesa.
Il problema dell’attribuzione
Trovare non è difficile. Difficile è decidere cosa è vostro.
Un indirizzo IP su un provider cloud oggi ospita il vostro servizio. Sei mesi fa ne ospitava un altro, di un’altra azienda. Fra un mese ne ospiterà un terzo. Se lo strumento vi attribuisce quell’indirizzo sulla base di un archivio vecchio, vi segnala vulnerabilità che non vi riguardano.
Vale anche al contrario. Il sottodominio parcheggiato su un servizio di terze parti — una piattaforma di landing page, un sistema di ticketing, un blog ospitato altrove — punta a infrastruttura non vostra ma porta il vostro nome. Se quel servizio viene dismesso e il record DNS resta, chiunque può registrare quello spazio e pubblicare sotto il vostro dominio.
È un problema concreto e ricorrente, e le piattaforme ASM lo trovano bene. Ma l’attribuzione resta la parte in cui differiscono di più, e l’unica domanda che vale la pena fare in fase di valutazione è questa: quanti falsi positivi produce sull’attribuzione, non sul rilevamento delle vulnerabilità.
Chiedete una prova sul vostro dominio reale e contate quante voci dell’elenco riconoscete. Quella percentuale è il prodotto.
EASM, CAASM, DRPS: cosa dicono le sigle
Nei capitolati troverete almeno tre acronimi. Gartner li ha raggruppati sotto la stessa famiglia, ma coprono perimetri diversi e non sono intercambiabili.
| Sigla | Cosa guarda | Come lo fa |
|---|---|---|
| EASM External Attack Surface Management | Ciò che è raggiungibile da internet: domini, sottodomini, servizi esposti, certificati, portali | Da fuori, su fonti pubbliche, senza accesso ai vostri sistemi |
| CAASM Cyber Asset Attack Surface Management | Tutti gli asset, interni ed esterni, riuniti in una vista unica | Da dentro, collegandosi agli strumenti che già li censiscono |
| DRPS Digital Risk Protection Services | Marchio, credenziali trapelate, domini che imitano il vostro, materiale sui mercati illeciti | Monitorando fonti esterne, compreso il dark web |
La distinzione che conta in acquisto è fra i primi due, e si riassume così. L’EASM vede quello che vede un attaccante. Il CAASM vede quello che già sapete di avere, raccolto in un posto solo.
Il secondo ha un limite che nelle presentazioni resta implicito: si collega alle fonti che gli indicate. Se un sistema non compare in nessuna di quelle fonti, non comparirà neanche nella vista unificata. È lo stesso problema dell’inventario degli asset compilato a mano, con più automazione e la stessa cecità.
Molti fornitori vendono i tre moduli insieme e li chiamano ASM. Vale la pena chiedere quale dei tre state comprando davvero, perché i prezzi cambiano di conseguenza.
Prima di comprare uno strumento, conviene sapere cosa si vede oggi.
Il Vulnerability Assessment censisce ciò che è effettivamente raggiungibile, rileva le versioni in uso e restituisce le vulnerabilità in ordine di priorità reale.
Dove si ferma lo strumento
Una piattaforma ASM esegue tre passaggi e si ferma al terzo. I due successivi non li fa nessun software, e sono quelli che trasformano un elenco in una decisione.
Verifica di sfruttabilità e priorità nel contesto aziendale richiedono qualcuno che guardi i risultati.
Il quarto passaggio è la verifica di sfruttabilità. Lo strumento segnala che un servizio espone una versione con vulnerabilità note. Non dice se quella vulnerabilità sia raggiungibile nella vostra configurazione, né cosa permetta di ottenere. Sono due domande diverse, e la seconda decide l’urgenza.
Il quinto è la priorità nel contesto. Il punteggio di gravità che accompagna ogni rilievo è una proprietà della vulnerabilità, uguale per chiunque ce l’abbia. Il rischio che comporta dipende da cosa quel sistema protegge, da chi lo raggiunge e da cosa si arriva partendo da lì. Nessuna piattaforma conosce il vostro organigramma.
Da questo nasce il modo tipico in cui questi progetti falliscono, e non è tecnico. La piattaforma produce più segnalazioni di quante l’organizzazione riesca a leggerne. Dopo qualche settimana la dashboard resta chiusa, i cambiamenti si accumulano, e l’azienda paga un canone per un elenco che nessuno consulta. È la stessa dinamica che abbiamo descritto a proposito dei limiti degli assessment automatici, su una scala più grande e con una spesa ricorrente.
Quando conviene e quando no
La domanda giusta non è se l’ASM funzioni. Funziona. La domanda è se il vostro perimetro ne abbia bisogno.
Conviene quando la superficie esposta cambia più in fretta di quanto riusciate a censirla. Molti domini, presenza su più provider cloud, rilasci frequenti, acquisizioni che portano dentro infrastrutture di altri. In quelle condizioni un censimento manuale è vecchio prima di essere finito.
Conviene anche in un caso specifico e sottovalutato: quando l’azienda è cresciuta per acquisizioni. L’infrastruttura di una società acquisita porta con sé domini, certificati e servizi che nessuno ha mai mappato, e che continuano a rispondere.
Non conviene quando il perimetro è piccolo e stabile. Un sito, un paio di servizi, una rete che cambia due volte l’anno: lì una verifica periodica costa meno e produce più informazione, perché comprende la valutazione che lo strumento non fa.
E non conviene come primo passo. Un ASM aggiunge dati a un’organizzazione che spesso non ha ancora deciso cosa fare di quelli che ha già. Il problema, in quei casi, non è la mancanza di visibilità.
Cosa resta in capo a voi
Tre cose restano fuori dal perimetro di qualunque piattaforma.
La prima è l’attribuzione di una responsabilità. Ogni asset scoperto va assegnato a una persona, con nome e cognome. Senza quel passaggio le segnalazioni arrivano e non trovano destinatario, e l’elenco cresce finché nessuno lo guarda più.
La seconda è la decisione su quello che non si corregge. Ogni perimetro contiene sistemi che non si possono aggiornare né spegnere: applicazioni su misura senza più manutenzione, apparati il cui produttore ha chiuso. Quelli vanno contenuti e messi per iscritto, altrimenti lo strumento li segnala ogni settimana e nessuno ricorda che la decisione era già stata presa.
La terza è la verifica di cosa si raggiunge partendo da un asset esposto. È l’informazione che decide l’ordine degli interventi, e richiede che qualcuno ci provi. Un penetration test parte esattamente da lì.
C’è infine un aspetto di conformità che vale la pena considerare, perché si tende a dare per scontato che lo strumento basti. Per i soggetti che rientrano nella direttiva NIS 2 la gestione delle vulnerabilità è fra le misure di base da avere operative entro il 31 ottobre 2026. Quello che l’ACN verificherà non è il possesso di una piattaforma. Sono le evidenze: documenti che riportino una data, un perimetro definito e un esito.
Una dashboard mostra lo stato di adesso. Un report datato dimostra cosa c’era in un momento preciso e cosa è stato fatto. Sono due cose diverse, e in fase di verifica conta la seconda.
Sapere che un servizio è esposto è metà dell’informazione.
Il Penetration Test parte dagli asset raggiungibili e verifica cosa si ottiene davvero: quali sistemi diventano accessibili e dove la segmentazione della rete tiene.
- Autore articolo
- Gli ultimi articoli
Responsabile Marketing per due aziende leader nel settore della Sicurezza Informatica: organizzo e progetto iniziative di diffusione della cultura cybersecurity e dei rischi cyber-crime attraverso contenuti web, eventi on e off line e materiale info-grafico. Ho una naturale propensione per far coesistere il lato metodico e preciso del mio carattere con la parte più creativa, visionaria e ambiziosa di me. Sono curiosa, riflessiva e non metto freni alla mia fame di conoscenza.