O que a técnica faz
Enumeração de subdomínios é o levantamento dos nomes que existem abaixo de um domínio: api.exemplo.com, homolog.exemplo.com, painel-antigo.exemplo.com. É a primeira etapa prática de qualquer mapeamento externo, e é feita da mesma forma pelo time de segurança e por quem está do outro lado.
O objetivo não é a lista de nomes. É chegar nos que respondem, porque nome que não resolve não é superfície.
As fontes públicas
Registros de emissão de certificado. Toda autoridade certificadora publica o que emitiu, com o nome que consta no certificado. Um ambiente interno que ganhou certificado válido anunciou o próprio nome nesse registro.
DNS. Consultas diretas, transferências de zona mal configuradas, e registros que ficaram apontando para serviços que já saíram do ar.
Arquivos de rastreamento da web. Buscadores e projetos de arquivamento guardam URLs vistas ao longo dos anos, incluindo as de páginas que a empresa já removeu.
Código e configuração públicos. Endereço interno que aparece em repositório aberto, em arquivo de configuração publicado por engano, ou dentro de um pacote que foi ao ar.
Nenhuma dessas fontes exige interação com a infraestrutura do alvo. Elas são o motivo de o mapa existir do lado de fora antes de existir do lado de dentro.
Passiva e ativa
Passiva consulta essas fontes e não toca no alvo. Ativa testa nomes contra o servidor para descobrir os que existem e não estão publicados em lugar nenhum, o que gera tráfego identificável e exige autorização.
A ordem eficiente é passiva primeiro, porque ela devolve a maior parte do resultado sem custo nem risco, e ativa depois, sobre o que ficou em aberto.
A parte fácil e a parte difícil
Encontrar nomes é a parte fácil. Ferramentas abertas fazem isso bem, e a lista sai grande.
Decidir o que é seu é a parte difícil, e é onde o exercício costuma parar. A lista bruta traz nome que já não resolve, nome que pertence a outra empresa por coincidência de string, nome de um serviço que a empresa contratou e nunca soube que ganharia endereço próprio, e nome de uma marca que a organização vendeu há dois anos.
Um inventário construído sobre a lista bruta erra para mais, e um construído só sobre o que a empresa já reconhecia erra para menos. Resolver isso é atribuição, que é problema diferente da enumeração e bem menos automatizável.
Por que ela envelhece rápido
O resultado de hoje descreve hoje. Subdomínio novo entra em operação toda semana, e um levantamento trimestral gera a sensação de cobertura sem a cobertura.
É por isso que a técnica só produz valor sustentado dentro de um ciclo contínuo de gestão da superfície de ataque, e não como exercício pontual.