O que a categoria faz
CAASM é a sigla de cyber asset attack surface management. A categoria descreve ferramentas que consolidam, via API, o inventário de ativos que já existe espalhado pelas outras ferramentas da empresa: agente de endpoint, provedor de nuvem, diretório de identidade, sistema de gestão de configuração, plataforma de virtualização.
O valor está na consolidação. Cada uma dessas fontes conhece um pedaço, nenhuma conhece o conjunto, e reconciliar as visões manualmente é trabalho que ninguém faz na frequência necessária.
De onde vem o dado
Essa é a diferença que importa, e ela decide o que cada categoria consegue enxergar.
CAASM lê de dentro. Ele pergunta às ferramentas que a empresa já opera, então enxerga tudo que essas ferramentas cobrem: máquina com agente instalado, recurso na conta de nuvem conectada, usuário no diretório. Em compensação, ele herda os pontos cegos delas. Um ativo que nenhuma ferramenta instrumentou não aparece, por definição.
EASM lê de fora. Ele parte do domínio raiz e observa o que responde na internet, sem depender de credencial nem de instalação. Enxerga o ativo que ninguém registrou, e não enxerga nada que não esteja publicado.
| | CAASM | EASM |
|---|---|---|
| origem do dado | API das ferramentas internas | observação externa |
| encontra | o que as ferramentas já cobrem | o que responde na internet |
| ponto cego | ativo não instrumentado | ativo interno |
| pergunta | está tudo reconciliado | o que existe que eu não sei |
As duas perguntas
CAASM responde se o que a empresa já conhece está consistente. É a pergunta de higiene: quantas máquinas têm agente, quantas contas de nuvem estão sob política, onde as fontes discordam entre si.
EASM responde o que existe que a empresa não sabe que existe. É a pergunta de cobertura, e é a que o adversário faz.
As duas são legítimas e não se substituem. Uma empresa com CAASM maduro e sem visão externa reconcilia muito bem um conjunto incompleto. Uma com visão externa e sem CAASM conhece a fronteira e não sabe o estado interno do que está atrás dela.
Sobre a nossa alçada
A CSURFACE opera do lado externo. A plataforma parte do domínio raiz, sem agente e sem integração com as ferramentas internas do cliente, o que significa que ela encontra o ativo fora do inventário e não enxerga permissão excessiva em conta de nuvem nem credencial válida usada por quem não devia.
Essa cobertura interna continua sendo de CAASM e das ferramentas de identidade e nuvem. São camadas distintas de um mesmo programa, e quem promete as duas metades no mesmo produto está vendendo o nome da categoria.