EASM (External Attack Surface Management)

Nota do capítulo 04 (Modelos e Frameworks para CTI).
Define o EASM (External Attack Surface Management): escopo, diferença para gerenciamento de vulnerabilidades, técnicas de descoberta, shadow IT e o ciclo de gestão de exposição.
Dialoga com a nota de IOE do capítulo 03, com os controles INS.3, INS.4, INT.3 e INT.4 da seção 15, e aprofunda o tema introduzido aqui no capítulo 21.

1. Contexto e Posicionamento na Biblioteca

O adversário inicia quase toda operação do lado de fora, mapeando o que a organização expõe à internet antes de escolher o caminho de entrada. O EASM (External Attack Surface Management, gestão de superfície de ataque externa) é a disciplina que devolve essa visão ao defensor: descobrir, inventariar, monitorar e gerenciar continuamente todos os ativos alcançáveis da internet, incluindo, e principalmente, aqueles que a organização não sabe que possui. A disciplina nasceu da constatação prática de que a superfície muda mais rápido que os processos de inventário tradicionais: ambientes de teste sobem e nunca caem, campanhas de marketing criam landing pages em provedores improvisados, e contas de nuvem abertas por áreas de negócio nunca entram no CMDB.

Na biblioteca, esta nota traduz o conceito em processo e conecta três pontos já construídos: o IOE do capítulo 03 é a unidade atômica do achado de EASM, as fontes de coleta do capítulo 02 fornecem as técnicas de descoberta, e os controles INS.3 e INS.4 da seção 15 executam o mapeamento e o monitoramento que aqui são descritos. A nota também prepara a integração com threat hunting do controle INT.4, na qual cada exposição vira hipótese, e antecipa o aprofundamento do tema no capítulo 21, dedicado a EASM e CTEM. O leitor deve sair daqui capaz de desenhar um ciclo de descoberta, classificar achados e integrá-los ao pipeline de CTI e de hunting.

2. Definição e Escopo de EASM

EASM é a prática contínua de descobrir e gerenciar o conjunto de ativos expostos à internet que um adversário poderia descobrir, e o adjetivo contínua é a parte que separa disciplina de projeto pontual. O escopo típico cobre: domínios e subdomínios, inclusive de terceiros que hospedam serviços da marca; endereços IP e portas de serviços; certificados TLS e sua metadata; buckets e armazenamento de objeto; APIs e endpoints de aplicação; ambientes de nuvem de todas as contas da organização; ativos de terceiros e de aquisições recentes; e exposições indiretas, como credenciais publicadas e código em repositórios abertos. O princípio organizador é a visão do adversário: pertence à superfície tudo que ele consegue encontrar, e não tudo que a organização lembra que existe.

O produto central da disciplina é o inventário vivo, com quatro propriedades mínimas para cada ativo: identificação, dono responsável, estado de exposição atual e histórico de mudanças. O dono é o campo mais difícil e o mais decisivo, porque achado sem dono não gera correção, apenas relatório; por isso a prática madura trata a atribuição de responsabilidade como parte do ciclo, com regra de fallback para áreas como TI e segurança quando o dono natural não se apresenta. O histórico, por sua vez, é o que permite distinguir ativo novo, que merece triagem, de ativo estável, que merece apenas monitoramento.

O inventário se organiza por classes de ativo, e a classe determina a fonte primária de descoberta, o que evita a armadilha de aplicar uma técnica única a um universo heterogêneo. A tabela abaixo resume as classes com exemplos e fontes.

3. Diferença para Gerenciamento de Vulnerabilidades

Gerenciamento de vulnerabilidades e EASM são complementares e frequentemente confundidos, e a confusão custa cobertura: a organização que acha que varreu tudo scannea apenas o que já conhece. A tabela abaixo contrasta as duas disciplinas nos eixos que importam para desenhar o processo.

A consequência operacional da diferença é uma ordem de trabalho: o EASM alimenta o gerenciamento de vulnerabilidades, e não o contrário. Cada ativo novo descoberto entra no escopo de scan, e cada ativo órfão descoberto evita que o scanner perca tempo e que a organização acredite em cobertura que não existe. As duas disciplinas convergem no resultado final, a superfície reduzida e conhecida, mas só o EASM cobre a entrada do adversário que começa exatamente pelo ativo que ninguém listou.

4. Técnicas de Descoberta

Cada técnica tem um custo e uma cegueira conhecida, e o ciclo maduro as combina em camadas. Os logs de CT revelam nomes, mas não dizem se o serviço ainda existe; o DNS diz onde aponta, mas não se a porta responde; a varredura diz o que roda, mas só no endereço conhecido; e as APIs de nuvem são a única fonte que enxerga o que nenhuma enumeração externa encontra, porque parte da identidade da conta. A técnica de monitoramento de marca fecha o ciclo pelo lado ofensivo: enquanto as demais mapeiam o que a organização publicou, o monitor de registro captura o que o adversário publicou contra ela, e é a ponte direta entre EASM e a inteligência de campanha descrita no capítulo 03.

A prática recomendada é rodar as camadas com cadências diferentes: CT e monitores de marca diariamente, DNS e APIs de nuvem semanalmente, varredura de serviços a cada duas semanas, e vazamentos por alerta contínuo. A diferença semanal, e não a foto completa, é o que gera fila de trabalho gerenciável, porque o objetivo não é catalogar o mundo uma vez, e sim reagir a mudança enquanto ela é nova.

Duas técnicas merecem detalhe de execução porque rendem desproporcionalmente quando bem feitas. A enumeração por CT rende mais com dois termos de busca: a marca exata, que pega emissões para nomes novos, e o domínio raiz com wildcard, que pega subdomínios emitidos em massa por fornecedores de certificado gratuito. A enumeração por nuvem rende mais por conta do que por serviço: o inventário da organização do provedor, com todas as contas vinculadas, é a única lista que inclui a conta de teste aberta por uma área de negócio, e é justamente essa conta que nenhuma varredura externa encontrará.

5. Ativos Desconhecidos e Shadow IT

Shadow IT é a fonte mais prolífica de superfície desconhecida, e ela não é malícia, e sim atrito de processo: uma área de marketing precisa publicar hoje, uma equipe de desenvolvimento testa em nuvem pessoal, um fornecedor integra API sem passar pela arquitetura. Os padrões recorrentes são conhecidos e vale treiná-los como categorias de busca: ambientes de teste com títulos de aplicação claramente não produtivos; subdomínios de campanhas passadas com CNAME para recursos desativados; consoles de administração publicados para facilitar o trabalho remoto; e infraestrutura de aquisições recentes, que chega inteira e desconhecida no dia da fusão.

O risco do ativo desconhecido é desproporcional ao seu custo de correção, porque ele acumula dois agravos: ninguém o atualiza e ninguém o monitora. O exemplo canônico é o subdomínio órfão, que aponta para um recurso encerrado, mantém o certificado válido e permanece fora de qualquer scan interno: quando o recurso expira, qualquer terceiro pode reivindicar o destino e receber o tráfego da marca, técnica conhecida como takeover de subdomínio, que transforma um esquecimento em página de phishing com credibilidade máxima. A defesa começa no inventário vivo com dono definido, passa pelo registro de exceções com prazo e termina no descomissionamento formal, com remoção do DNS e do certificado, tema que o controle INS.1 da seção 15 trata pelo lado do inventário.

O encadeamento do takeover vale ser memorizado como sequência, porque cada etapa é legítima isoladamente e o conjunto é um phishing perfeito.

• A equipe encerra o ambiente de teste e encerra o contrato com o provedor, mas esquece o CNAME no DNS da marca.
• O provedor libera o nome de recurso, que volta a estar disponível para qualquer cliente novo.
• O adversário cria conta no mesmo provedor e reivindica exatamente aquele nome de recurso.
• O subdomínio da marca passa a servir conteúdo controlado por terceiro, com o nome da empresa no endereço.
• O certificado é emitido normalmente, e nenhum sistema interno emite alerta, porque ninguém sabe que o subdomínio existe.

A defesa que quebra a cadeia é barata e rotineira: o diff semanal de subdomínios, aliado a um teste de resolução de cada apontamento, sinaliza o CNAME pendente muito antes de o recurso ser liberado, e a remoção do registro é um minuto de trabalho.

6. Integração com CTI e Threat Hunting

A integração com CTI acontece em duas direções, e ambas passam pelo IOE definido no capítulo 03. Na direção de fora para dentro, a inteligência alimenta o EASM: o monitor de marca recebe o gerador de candidatos de typosquat da nota de WHOIS, os feeds de campanha indicam quais tecnologias expostas estão sendo exploradas na semana, e os relatórios setoriais priorizam quais classes de exposição merecem atenção imediata. Na direção de dentro para fora, o EASM alimenta a inteligência: o inventário externo real define o escopo dos PIRs do capítulo 01, porque não existe pergunta de inteligência útil sobre uma superfície imaginada.

A integração com threat hunting é o controle INT.4 da seção 15, e o mecanismo é a conversão de exposição em hipótese. Cada achado de EASM com potencial de exploração gera uma hipótese no formato do TH.6: o painel de administração exposto gera hunting de autenticações incomuns contra aquele serviço; o bucket público gera hunting de acessos anônimos em massa; e o subdomínio órfão gera hunting de tráfego HTTP da marca para destinos recém-reivindicados. O ciclo completa-se quando o hunting que não encontra nada valida a correção, e o que encontra transforma exposição em incidente com evidência anterior ao exploit, o cenário mais barato de resposta que a organização pode ter.

A hipótese do subdomínio órfão tem consulta direta, e ilustra como a watchlist de achados do EASM se cruza com a telemetria interna do capítulo 02.

// Trafego interno para subdominios orfaos catalogados pelo EASM
let orfaos = _GetWatchlist('subdominios-orfaos')
| project sub = tostring(['subdominio']);
DeviceNetworkEvents
| where Timestamp > ago(30d)
| where RemoteUrl has_any ((orfaos))
| project Timestamp, DeviceName, AccountName, RemoteUrl, RemoteIP
| order by Timestamp desc

Um host corporativo conversando com um subdomínio que a organização deveria ter desativado é o melhor caso possível de descoberta: o achado vem com host, conta e janela de tempo, e a contenção começa com evidência completa, e não com suspeita.

7. Ciclo de Gestão de Exposição e Exemplo de Fluxo

O ciclo de gestão segue as cinco fases do CTEM (Continuous Threat Exposure Management): escopo, descoberta, priorização, validação e mobilização. O escopo define marcas, domínios e provedores em jogo e quem responde por cada classe de ativo. A descoberta executa as camadas da seção 4 com cadências próprias. A priorização ordena achados por exposição, sensibilidade e exploração corrente, e não por volume. A validação confirma se o achado é explorável, com teste controlado. A mobilização leva o resultado ao dono com prazo, e recicla o que não for corrigido como risco aceito formal e temporário. O fluxo abaixo é a espinha dorsal semanal mínima dessa esteira em código.

#!/bin/bash
# Fluxo semanal de descoberta de superfície externa por Certificate Transparency
MARCA="minhaempresa.com.br"

# 1. Enumerar subdominios visiveis nos logs de CT
curl -s "https://crt.sh/?q=%25.${MARCA}&output=json" \
  | jq -r '.[].name_value' | sed 's/^\*\.//' | sort -u > ct_atual.txt

# 2. Diferenciar contra a linha de base da semana anterior
comm -13 ct_baseline.txt ct_atual.txt > subdominios_novos.txt

# 3. Validar servico HTTP nas novidades, com titulo e tecnologia
httpx -l subdominios_novos.txt -title -tech-detect -status-code \
  -o expostos_atuais.txt

# 4. Novidades com titulo de login, painel ou API entram na fila de triagem
# 5. A base da semana passa a ser a nova linha de base
cp ct_atual.txt ct_baseline.txt

A classificação da fila de triagem segue uma tabela de decisão curta, que evita discussão caso a caso e mantém o ciclo previsível. A prioridade é sempre proporcional ao que o achado permite a um desconhecido fazer, e a ação padrão evita que a fila vire acervo.

As ferramentas importam menos que o ciclo, mas o conjunto mínimo inclui enumeração open source como Amass, subfinder e httpx, validação com nuclei, motores de busca como Shodan e Censys, plataforma de EASM comercial quando o orçamento permitir, como Microsoft Defender EASM ou Censys ASM, e inventário de nuvem via CSPM. A métrica do ciclo é curta e suficiente: novos ativos por semana, porcentagem de ativos com dono definido, tempo médio da descoberta à atribuição e tempo médio da priorização alta à correção validada, com as duas últimas acompanhadas no MET.4 da seção 15.

8. Erros Comuns e Pontos de Atenção

• Tratar EASM como projeto de varredura única: a superfície muda semanalmente, e a foto envelhece; correção: ciclo contínuo com dif semanal e alertas de monitor de marca.
• Rodar EASM sem processo de dono: o achado sem responsável morre na fila; correção: regra de atribuição com fallback formal e prazo curto para nomes novos.
• Confundir EASM com gerenciamento de vulnerabilidades e considerar a superfície coberta pelo scanner: correção: as disciplinas são complementares, e a descoberta de ativos vem antes do scan.
• Enumerar sem autorização formal sobre ativos de terceiros: a descoberta passiva é legítima, o teste ativo em infraestrutura alheia não é; correção: política escrita de escopo e de contato com fornecedor.
• Ignorar nuvem por confiar na enumeração externa: recursos sem endpoint público só aparecem na API da conta; correção: incluir inventário de nuvem e CSPM na camada semanal.
• Priorizar por gravidade técnica e ignorar exploração corrente: uma exposição de tecnologia sob exploração ativa na semana vale mais que CVE teórica de risco menor; correção: cruzar a fila com feeds de exploração.
• Deixar risco aceito sem prazo: a exceção sem data de revalidação vira o próximo subdomínio órfão; correção: registro de exceção com expiração e revisão trimestral.

9. Integração com o Restante da Biblioteca

O EASM conecta os dois lados da biblioteca pelo IOE: do capítulo 03 ele recebe a unidade de achado e o gerador de typosquats, e para a seção 15 ele alimenta o INS.3 no mapeamento da superfície, o INS.4 no monitoramento contínuo e o INT.3 na integração direta com o pipeline de CTI. No capítulo 02, as técnicas de descoberta são fontes catalogadas com custo e cadência, e no capítulo 01 o inventário externo real delimita o escopo dos PIRs. No hunting do INT.4, cada exposição vira hipótese com dado interno para caçar, e o resultado retroalimenta a priorização do ciclo. O aprofundamento operacional do tema, com maturidade, ferramentas e métricas avançadas, é a matéria do capítulo 21, e a leitura da nota de CTEM complementa o desenho aqui apresentado.

O indicador que resume a disciplina em uma frase, e que a diretoria entende sem tradução, é o tempo entre o ativo aparecer na internet e o ativo ter dono e estado conhecidos. Organizações com esse tempo em dias operam com superfície gerenciada, e organizações com esse tempo em trimestres operam com superfície sorteada, independentemente do orçamento de ferramenta. Essa métrica, alimentada pelo fluxo semanal desta nota e cobrada no MET.4, é o compromisso prático que transforma a superfície de ataque externa de incógnita em inventário vivo, e é o ponto de partida para todo o resto que a biblioteca constrói sobre exposição.