A sequência, não o ponto
Caminho de ataque é a sequência de passos que leva o adversário da posição inicial até o objetivo. Entrar por um serviço exposto, obter uma credencial guardada ali, usar essa credencial para alcançar um segundo sistema, e assim por diante até chegar no dado ou no controle que interessa.
Três palavras vizinhas descrevem coisas diferentes e são trocadas o tempo todo.
| termo | o que descreve |
|---|---|
| vetor | o método de entrada, o primeiro passo |
| caminho | a sequência inteira, do primeiro passo ao objetivo |
| raio de impacto | o alcance a partir de um ponto, sem ordenar os passos |
Por que pensar em caminho muda a prioridade
Uma fila ordenada por gravidade trata cada falha como um evento isolado. O adversário não trabalha assim: ele encadeia.
Isso produz um efeito contraintuitivo. Três falhas de gravidade média que se encadeiam valem mais para quem ataca do que uma falha crítica que não leva a lugar nenhum. A soma das notas não descreve a ameaça, porque a ameaça é a existência da sequência.
E a recíproca vale, e é a parte útil: quebrar um elo quebra o caminho inteiro. Muitas vezes o elo mais barato de quebrar não é o mais grave da cadeia. Retirar uma credencial de um arquivo de configuração pode inutilizar um caminho que passava por três falhas que continuam abertas.
Onde os caminhos costumam passar
Credencial guardada em ativo de baixa criticidade é o elo mais comum. Ela transforma um servidor sem importância no primeiro degrau de uma escada.
Identidade compartilhada entre ambientes é o segundo. Homologação que autentica contra o diretório de produção é a produção com outra porta.
Confiança implícita entre serviços é o terceiro. Sistemas que se aceitam mutuamente porque estão na mesma rede transformam um comprometimento em vários.
O limite da análise
Mapear caminhos exige saber o que existe e como as coisas se conectam. A primeira metade é descoberta; a segunda depende de visibilidade interna que a observação externa não dá.
Do lado de fora dá para ver o começo do caminho, que é a parte alcançável, e estimar o resto pelo que o ativo guarda e com quem ele conversa. O caminho completo, com todos os saltos internos, é trabalho de quem tem acesso ao ambiente.
Por isso a leitura honesta combina as duas coisas: validação de exploitabilidade para saber que o primeiro passo funciona, e raio de impacto para estimar até onde ele leva.