La práctica, no el objeto
Attack surface management es la disciplina de mantener actualizado el inventario de lo que una organización expone, atribuir responsable a cada elemento y reducir el conjunto de forma continua. La superficie de ataque es el objeto. El ASM es el trabajo de administrarlo.
La distinción parece académica y decide compras. Toda empresa tiene superficie de ataque. Pocas tienen a alguien responsable de saber qué tamaño tiene esta semana.
El ciclo, en cuatro movimientos
Descubrir. Levantar lo que responde, partiendo del dominio raíz en lugar de la hoja de cálculo de activos. La distancia entre esos dos puntos de partida es el motivo de que la práctica exista.
Atribuir. Cada activo encontrado necesita responsable. Un activo sin responsable no se convierte en ticket, y un hallazgo que no se convierte en ticket no cambia nada. Aquí se atasca la mayoría de los programas, no en el descubrimiento.
Clasificar. Separar lo que está expuesto por error de lo que está expuesto por decisión. Un panel administrativo abierto y un sitio institucional están los dos en internet, y solo uno es problema.
Reducir. Apagar lo que no necesita estar en línea. Es el paso más barato y el menos ejecutado, porque no produce métrica lucida: el número que mueve es el de activos que dejaron de existir.
El ASM y la gestión de vulnerabilidades parten de listas distintas
Esta es la confusión más cara del asunto.
La gestión de vulnerabilidades recibe una lista de activos y busca fallos en ellos. El alcance viene dado. La calidad del resultado depende por completo de que esa lista esté bien.
El ASM produce la lista. Existe porque la lista oficial está mal, y está mal por construcción: se armó de dentro hacia fuera siguiendo el organigrama, mientras los activos aparecen siguiendo las decisiones de diez equipos a lo largo de diez años.
Pasar un escáner excelente sobre un inventario incompleto devuelve un informe limpio sobre el alcance equivocado. El informe limpio es peor que ninguno, porque produce confianza sin respaldo.
| | gestión de vulnerabilidades | ASM |
|---|---|---|
| punto de partida | inventario existente | dominio raíz |
| pregunta | qué fallos hay en estos activos | qué activos existen |
| fallo típico | alcance incompleto | hallazgo sin responsable |
| unidad | vulnerabilidad | activo |
Qué separa una herramienta de un informe
Tres preguntas resuelven una reunión comercial mejor que cualquier lista de funcionalidades.
Cuánto tiempo pasa entre que un activo queda expuesto y el sistema avisa. Fíjese si la respuesta habla de frecuencia de barrido o de tiempo hasta el aviso, porque un barrido diario con procesamiento semanal produce aviso semanal.
Cuánto de lo reportado llega con responsable identificado. Un hallazgo sin responsable vuelve a la cola y muere ahí.
Qué no hace la herramienta. Un permiso excesivo en una cuenta de nube y una credencial válida usada por quien no debía no se ven desde fuera, porque no responden en ningún puerto. Quien promete cobertura interna y externa en el mismo producto está vendiendo el nombre de la categoría.
Dónde suele fallar la práctica
Buen descubrimiento con mala atribución es el patrón. La empresa pasa a ver cuatro veces más activos que antes y no consigue convertir eso en trabajo, porque nadie sabe de quién es cada uno. El resultado es una hoja de cálculo más grande y la misma parálisis.
El segundo modo de fallo es tratar el ASM como proyecto. Un levantamiento puntual describe un estado que ya cambió cuando el informe queda listo. La superficie se mueve cada semana, y la práctica solo rinde cuando corre a la cadencia del cambio.
El ASM dentro de un programa mayor
El ASM cubre el descubrimiento y la reducción. No valida si un fallo es explotable, no cuantifica pérdida en valor financiero y no ejecuta la corrección.
Los programas maduros encajan el ASM como primera fase de un ciclo de gestión de exposición, con la validación y la movilización después. Empezar por la validación, sobre un inventario incompleto, ancla el esfuerzo en la parte equivocada del problema.
La gestión de la superficie de ataque de CSURFACE opera ese ciclo desde el dominio raíz, con atribución de responsable y clasificación de exposición, sin agentes instalados.