איך האקרים סורקים את הנכסים החיצוניים שלכם: מה רואים מבחוץ

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי או הנחיה מקצועית מותאמת לארגון שלכם.

ארגון נראה מבחוץ אחרת ממה שהוא נראה מבפנים

מבפנים, הארגון הוא אנשים, מערכות ונהלים. מבחוץ, הוא אוסף של שמות ושירותים שנגישים באינטרנט. מי שבוחן ארגון מבחוץ, בין אם תוקף ובין אם הארגון עצמו, מתחיל בשאלה פשוטה: מה גלוי? המאמר מתאר את התמונה ברמה כללית ומגננתית, כדי שתוכלו לבדוק זאת בעצמכם ולסגור מה שמיותר. הוא אינו מדריך תקיפה.

מה בדרך כלל גלוי

דומיינים ותת-דומיינים

לארגון יש דומיין ראשי, ולעיתים כמה דומיינים נוספים: מותגים ישנים, קמפיינים, דומיינים שנרשמו "ליתר ביטחון". בנוסף יש תת-דומיינים כמו אתר ניהול, מערכת בדיקות או פורטל ללקוחות. רבים מהם נחשפים במאגרים ציבוריים, למשל רישום תעודות אבטחה, ובאתרי חיפוש שמפרסמים נתונים כאלה.

רשומות DNS

רשומות DNS הן ציבוריות מטבען. הן מגלות איפה האתר מתארח, איזה שירות מייל בשימוש, ואילו שירותים חיצוניים הארגון הוכיח בעלות עליהם. הן גם מראות אם מוגדרים SPF, DKIM ו-DMARC.

כתובות מייל חשופות

כתובות עובדים מופיעות באתר, בקבצים ובמאגרים. רשימה כזו מאפשרת לשלוח הודעות פישינג ממוקדות. ראו מה אפשר ללמוד מהמידע הציבורי.

שירותים פתוחים

שרת שמקשיב לאינטרנט בפורט שלא נועד לציבור, כמו ממשק ניהול או שרת קבצים, הוא נקודת כניסה פוטנציאלית. לעיתים זה קורה בטעות, בעקבות הגדרה שנעשתה "זמנית".

תוכנה ישנה וממשקי ניהול

דף כניסה לממשק ניהול, או גרסת תוכנה שמוצגת בפומבי, מאפשרים לדעת מה רץ. תוכנה שלא עודכנה היא סיבה נפוצה לבעיות.

קבצים ומידע שנחשף בטעות

גיבויים, קבצי הגדרה או מסמכים שנשארו בתיקיית אתר פתוחה. בדיקה תקופתית שבודקת רק מה שמוצג לציבור יכולה לאתר זאת.

למה נכסים נשכחים הם הבעיה

(תרחיש לדוגמה, לא מקרה אמיתי.) לפני כמה שנים הקימה החברה אתר קמפיין בתת-דומיין נפרד, אצל ספק חיצוני. הקמפיין הסתיים והספק עזב, אבל התת-דומיין נשאר, והתוכנה בו לא עודכנה. אף אחד בחברה כבר לא זוכר שהוא קיים. מבחוץ הוא נראה כחלק מהארגון, ולכן הוא מקום נוח.

ההבדל בין ארגון מסודר לבלגן הוא לא בהכרח כסף. הוא ברשימה: מי יודע מה קיים ומי אחראי.

איך בונים רשימת נכסים ומנקים

1. רשמו את כל הדומיינים שהארגון שילם עליהם, ומי הבעלים הרשום.
2. רשמו תת-דומיינים לפי רשומות DNS ולפי ספקים, ושאלו את הצוותים.
3. לכל נכס: מי אחראי, למה הוא קיים ומתי נבדק לאחרונה.
4. סגרו מה שלא בשימוש: הסירו רשומות DNS ישנות, כבו שירותים, פנו לספקים.
5. צמצמו חשיפה של ממשקי ניהול: הגבלה לכתובות מורשות ואימות דו-שלבי.
6. עדכנו תוכנה על מה שנשאר.
7. חזרו על זה: פעם ברבעון או בכל שינוי גדול.

מה אפשר לבדוק בחינם

הסריקה החינמית של PhishingU בודקת את רשומות DMARC, SPF ו-DKIM של הדומיין, כלומר חלק קטן מהתמונה הזו, הקשור למייל. היא אינה סורקת תת-דומיינים או שירותים פתוחים. אפשר לבקש דוח מלא שמכין הצוות שלנו ונשלח לכתובת בדומיין שנסרק, והדוח הראשון ללא עלות. הדוח אינו בדיקת חדירות, אינו אישור עמידה בתקן, ואינו תחליף לבדיקה של בודק מוסמך.

ומה עם העובדים

גם ארגון עם נכסים מסודרים נפגע מהודעה שמשכנעת עובד לוותר על סיסמה. ראו איך מזהים מייל פישינג.

איך מתעדפים

אחרי שיש רשימה, לא כל פריט שווה. אפשר למיין לפי שלוש שאלות: האם הנכס נגיש לכולם? האם הוא מחזיק מידע רגיש או גישה למערכות? והאם הוא עדכני? נכס שעונה "כן, כן, לא" הוא הראשון לטיפול. נכס שלא בשימוש כלל, ושאפשר לסגור, הוא הניצחון הקל ביותר.

מה לא כדאי

• להריץ כלי סריקה על ארגונים אחרים, או על מערכות שאינכם אחראים להן, כי זה עלול להיות לא חוקי. מומלץ להיוועץ בעורך דין לפני בדיקות שאינן על הנכסים שלכם.
• להניח שמה שלא רואים לא קיים. נכסים נשכחים נמצאים בדיוק במקומות שלא מסתכלים בהם.
• להסתפק בסריקה חד-פעמית. מצב החשיפה משתנה.