Por que separar a parte externa
A superfície de ataque externa é o subconjunto de ativos que respondem na internet pública sem que ninguém precise de credencial, VPN ou acesso prévio para alcançá-los.
O recorte parece arbitrário e não é. Ele existe porque essa é a única parte da sua exposição que um adversário consegue estudar antes de qualquer contato com a sua empresa. Ele não precisa de permissão, não dispara alerta nenhum e não deixa rastro que o seu SOC vá notar. Enquanto a organização discute prioridade de correção em reunião, o mapa dela já circula do outro lado.
O que entra na conta
| entra | não entra |
|---|---|
| domínios e subdomínios que resolvem | rede interna atrás do firewall |
| IPs e faixas com serviço respondendo | estações de trabalho |
| aplicações web e APIs publicadas | sistemas que exigem VPN |
| painéis administrativos alcançáveis | compartilhamentos internos |
| certificados, e o que eles revelam | políticas de grupo |
| ambientes em nuvem com endpoint público | backups offline |
A lista da direita não é menos importante. Ela só chega depois, e quase sempre por um caminho que começou na esquerda.
O problema do escopo
Descobrir a superfície externa parece tarefa de listar subdomínio. Não é, e o motivo é chato: a fronteira da organização raramente coincide com a fronteira do domínio principal.
Uma empresa opera marcas com domínio próprio. Compra outra e herda a infraestrutura dela. Mantém presença em país onde a operação usa outro registro. Contrata agência que publica em domínio da agência. Cada um desses casos produz ativo que é responsabilidade da empresa e que nenhuma varredura do domínio raiz encontra sozinha.
É por isso que o inventário oficial quase sempre erra para menos. Ele foi construído de dentro para fora, seguindo o organograma. A superfície externa não segue organograma.
A janela de exposição
Ativo externo tem uma dimensão que ativo interno não tem com a mesma força: o tempo em que ficou alcançável antes de alguém reparar.
Um subdomínio apontando para serviço desativado pode ser reivindicado por terceiros. Um painel administrativo publicado por engano fica indexado. Um certificado emitido para ambiente de teste anuncia o nome daquele ambiente para quem acompanha registros públicos de emissão.
Nenhum desses casos aparece em varredura de vulnerabilidade, porque nenhum deles é vulnerabilidade. São condições de exposição, e a métrica que importa é quanto tempo elas duram.
Externa e interna se medem diferente
A superfície interna se mede por cobertura: quantos endpoints têm agente, quantos servidores estão no inventário de patch, quanto da rede está segmentado.
A externa se mede por descoberta: quanto existe que você ainda não sabe que existe. São perguntas de natureza oposta, e ferramenta boa em uma costuma ser ruim na outra. Um scanner interno confia na lista que recebeu. Um levantamento externo existe justamente porque a lista está errada.
Misturar as duas medições é o erro que produz relatório tranquilizador sobre escopo incompleto.
O que fazer com o resultado
Levantar a superfície externa gera uma lista maior do que a esperada. A tentação é priorizar por severidade técnica e começar a corrigir de cima para baixo.
Antes disso vale uma pergunta mais barata: quanto dessa lista pode simplesmente sair do ar. Ambiente que ninguém reivindica, painel que não precisava estar público, serviço herdado de projeto encerrado. Desligar resolve de forma definitiva o que corrigir só adia.
O que sobra depois desse corte é um conjunto menor, com dono identificado, e aí a priorização por risco passa a valer a pena. É esse o trabalho que a gestão da superfície de ataque externa da CSURFACE faz de forma contínua, a partir do domínio raiz.