INS.3 - Mapeamento de Superfície de Ataque Externa

Nota do grupo INS (Inventário e Superfície de Ataque) do Framework CTH, derivada do Capítulo 5 do PDF de referência. Este controle estende o inventário para o perímetro, cobrindo tudo que a organização expõe à Internet, visto com os olhos do adversário.
Papel no programa: mapear continuamente a superfície externa com dono e classificação para cada achado, sustentando a priorização de CTI e as caças orientadas a exposição.

1. Contexto e Posicionamento no Framework CTH

A superfície de ataque externa é o vetor de entrada primário da maioria dos ataques cibernéticos. Adversários executam reconhecimento extensivo antes de lançar ataques direcionados, mapeando domínios, subdomínios, portas, serviços e aplicações do alvo com ferramentas baratas e automatizadas. Se a organização não conhece a própria superfície com profundidade igual ou maior que a de um adversário potencial, opera em desvantagem informacional crítica: expõe serviços que desconhece, ignora subdomínios esquecidos e não percebe infraestrutura provisionada e abandonada.

Exposições desconhecidas são portas abertas que os adversários podem e vão explorar. Subdomínios esquecidos com serviços vulneráveis ativos, aplicações de teste publicadas por engenharia, buckets de nuvem mal configurados e certificados de ambientes provisórios fazem parte do cotidiano de qualquer organização grande. O INS.3 existe para que essa realidade seja inventariada de forma sistemática e contínua, e não descoberta no meio de um incidente.

Dentro do Framework CTH, o INS.3 é a extensão externa do INS.1: enquanto o INS.1 cobre o ambiente interno, o INS.3 cobre o perímetro e o que está além dele. Seus achados alimentam o INS.4 na forma de IOEs, sustentam caças orientadas a exposição do grupo HNT e dão à CTI o mapa de ativos expostos necessário para avaliar a relevância de cada ameaça identificada.

2. Conceito de EASM e o Que Mapear

External Attack Surface Management (EASM) é a disciplina de descobrir, inventariar, classificar e monitorar continuamente os ativos expostos à Internet, observados de fora, como um adversário os vê. A perspectiva externa é o que distingue a prática: varreduras internas não enxergam configurações de balanceador, regras de firewall mal aplicadas ou recursos criados diretamente no console do provedor de nuvem. O mapeamento externo complementa o inventário interno justamente onde o inventário interno é cego.

O escopo mínimo do mapeamento cobre as seguintes classes de achado:

• Domínios e subdomínios: todo o espaço de nomes da organização, incluindo domínios de países, marcas secundárias e domínios criados para campanhas.
• IPs e portas: intervalos próprios e atribuídos a provedores, com portas TCP e UDP abertas identificadas por varredura autorizada.
• Serviços e versões: o que escuta em cada porta, com banner e versão, incluindo serviços de administração indevidamente expostos.
• Certificados TLS: emissões, validade, emissor e nomes cobertos, que revelam subdomínios e infraestrutura nova antes de qualquer varredura.
• Aplicações web e APIs: aplicações publicadas, frameworks e componentes detectados, endpoints de API expostos e cabeçalhos de resposta informativos.
• Buckets e serviços de nuvem: armazenamento de objetos, filas e bancos de dados com política de acesso pública.
• Credenciais expostas: segredos publicados em repositórios públicos, coleções de vazamento associadas ao domínio da organização e chaves de API divulgadas.

Cada classe de achado tem dinâmica própria e por isso exige fonte e cadência próprias. Aplicações mudam com cada deploy, certificados mudam com cada renovação e infraestrutura de nuvem muda em minutos, o que torna o levantamento pontual uma fotografia de algo que se move.

Recursos nativos de nuvem merecem atenção redobrada porque escapam das fontes baseadas em DNS e em varredura de IP. Buckets, filas, funções serverless e endpoints de API gerenciada são criados e destruídos por pipelines sem passar por mudança formal, e a única forma confiável de vê-los é consumir as APIs de inventário dos provedores e conciliar com a visão externa. A regra prática é dupla: se o recurso é acessível pela Internet, deve aparecer no EASM; se não aparece, é sinal de cegueira da ferramenta, e não de ausência de risco.

3. Fontes de Descoberta

A descoberta combina fontes passivas, que observam sem tocar no alvo, e fontes ativas, que interagem com os serviços para confirmar estado. Certificate Transparency é a fonte passiva mais produtiva: todos os certificados emitidos por autoridades públicas são registrados em logs abertos, e a consulta desses logs revela subdomínios mesmo sem varredura. O DNS passivo e os bancos de resolução histórica complementam com mapeamentos antigos que ainda apontam infraestrutura viva:

# Subdomínios históricos via logs de Certificate Transparency
curl -s "https://crt.sh/?q=%25.empresa.com.br&output=json" | jq -r '.[].name_value' | sort -u

A confirmação ativa usa ferramentas de enumeração e varredura com autorização formal da área de segurança, pois varredura externa não autorizada pode violar contrato de provedor e legislação local:

subfinder -d empresa.com.br -all -silent -o subs.txt
httpx -l subs.txt -status-code -title -tech-detect -follow-redirects -o vivos.txt

Plataformas de EASM comerciais integram essas fontes em descoberta contínua com deduplicação, classificação e alertas, e os engines públicos servem como contraprova independente, revelando serviços que a própria plataforma possa ter perdido. A recomendação do Framework CTH é usar a plataforma de EASM como fonte primária e manter ao menos uma fonte de contraprova, porque toda fonte tem pontos cegos próprios.

O ciclo de vida de certificados também aceita verificação direta e barata, executável por script agendado e útil como contraprova da plataforma de monitoramento:

echo | openssl s_client -connect alvo.empresa.com.br:443 2>/dev/null \
  | openssl x509 -noout -subject -dates

4. Shadow IT e Infraestrutura Órfã como Alvo Prioritário

Os achados de maior risco não são os do perímetro formal, e sim os que ninguém lembra que existem. Shadow IT externa inclui aplicações publicadas por equipes de negócio, ambientes de teste esquecidos em provedores de nuvem e serviços criados por terceiros em nome da organização. Infraestrutura órfã inclui subdomínios apontando para recursos desligados, contas de nuvem de ex-fornecedores que ainda resolvem para nomes corporativos e certificados emitidos para serviços desativados sem descomissionamento completo. Esses ativos concentram risco porque acumulam as duas condições que o adversário procura: existência real e ausência total de manutenção.

O takeover de subdomínio merece atenção especial. Quando um nome da organização aponta para um serviço externo que foi desprovisionado, um terceiro pode reivindicar esse recurso no provedor e passar a publicar conteúdo sob o domínio da vítima, herdando a confiança associada ao nome em cookies, políticas de segurança e filtros de e-mail. Registros CNAME pendentes são o caso típico, e a descoberta de nomes órfãos deve disparar a remoção do registro DNS como ação de prioridade alta, antes mesmo da análise de impacto.

A priorização operacional dos achados deve seguir uma ordem explícita, começando pelo que combina exposição e abandono:

• Nomes apontando para recursos desprovisionados, com risco imediato de takeover.
• Serviços de administração expostos, como painéis de gerenciamento e interfaces de depuração.
• Ambientes de teste e homologação acessíveis da Internet, que raramente recebem patching.
• Buckets e filas com acesso público, inclusive os criados para integrações temporárias esquecidas.
• Serviços com versões antigas em componentes de aplicação web publicados fora do fluxo formal.

Fusões, aquisições e terceirização de serviços digitais merecem rotina própria de incorporação de superfície. Cada aquisição traz domínios, certificados e contas de nuvem herdadas, e o período entre a assinatura e a incorporação formal ao inventário é uma janela clássica de exposição sem dono. A auditoria trimestral de cobertura deve incluir a pergunta sobre o que mudou no mapa de terceiros, e não apenas o que mudou na rede própria.

5. Processo Operacional: Inventário, Classificação e Dono

Descoberta sem processo vira lista infinita sem dono. O fluxo operacional recomendado tem quatro etapas: inventariar, classificar, atribuir e revisar. Primeiro, cada achado entra no inventário de superfície com evidências da descoberta, como fonte, data e saída da varredura. Em seguida, recebe classificação de função e criticidade, com decisão explícita sobre manter, proteger ou desligar. O passo decisivo é atribuir dono a cada achado, porque exposição sem dono não é remediada. Por fim, o achado entra em revisão periódica com reavaliação de estado.

A cadência mínima de reavaliação é semanal para descoberta automatizada, mensal para revisão de classificação e trimestral para auditoria de cobertura, incluindo a revisão da lista de domínios e intervalos cadastrados. Mudanças incrementais, como subdomínio novo, porta recém-aberta ou tecnologia detectada pela primeira vez, devem gerar evento registrável na mesma semana em que ocorrem, conforme a salvaguarda INS.3.3. A auditoria trimestral de cobertura é o momento de incluir aquisições recentes, marcas novas e domínios de campanha, que são as fontes clássicas de superfície esquecida.

6. Exemplo Prático de Triagem de um Achado

O exemplo a seguir mostra o ciclo completo de um achado típico, um subdomínio recém-descoberto apontando para um serviço de teste exposto. O valor do exemplo está na sequência de decisões, e não na tecnologia, porque é a sequência que garante que o achado não morra numa lista sem dono.

1. A plataforma de EASM detecta o subdomínio e registra a evidência completa, com data, fonte e resposta HTTP.
2. A triagem identifica o ambiente de teste pela tecnologia detectada e pelo conteúdo da aplicação, classificando o achado como exposição não autorizada.
3. O dono é atribuído por consulta ao inventário do INS.1, e a equipe de engenharia confirma que o ambiente foi publicado pelo pipeline de homologação.
4. A decisão é desligar o acesso externo, e o grupo PRT aplica a mudança no firewall ou remove a publicação no balanceador.
5. A verificação técnica repete a varredura no dia seguinte e registra o fechamento com nova evidência de varredura.
6. O padrão é escalado ao grupo GOV, porque dois casos idênticos no trimestre indicam que o pipeline de homologação publica por padrão para a Internet.

A verificação de nomes órfãos e registros DNS pendentes merece checklist própria, porque o custo de verificação é baixo e o retorno é alto:

7. Salvaguardas do Controle por Nível

A implantação começa pelo cadastro completo de domínios e intervalos, porque enumerar o que não foi cadastrado produz visão parcial e falsa sensação de cobertura. Em seguida, a varredura de portas e serviços estabelece a linha de base da exposição real. As salvaguardas intermediárias automatizam a detecção de mudanças e aprofundam a enumeração de nomes, e a salvaguarda avançada conecta a superfície mapeada ao contexto de ameaça, fechando o elo entre o que está exposto e o que está sendo explorado.

8. Critérios de Sucesso e Métricas

• Cobertura de descoberta externa auditada trimestralmente, com comparação entre plataforma primária e contraprova.
• Percentual de achados com dono atribuído em até 5 dias úteis, com meta de 100%.
• Tempo médio entre descoberta e decisão de manter, proteger ou desligar abaixo de 10 dias úteis.
• Zero serviços de administração expostos sem justificativa e controle compensatório documentados.
• Zero subdomínios com registro pendente de takeover, medido na verificação mensal.
• Variação mensal da superfície mapeada com explicação registrada para cada mudança relevante.

O acompanhamento dessas métricas pertence ao grupo MET, e a tendência é mais informativa que o valor absoluto: um pico de descobertas indica melhora de visibilidade, enquanto a queda do tempo até a decisão indica maturidade de processo. A combinação das duas leituras evita a conclusão apressada de que mais achados significam pior segurança.

9. Erros Comuns e Pontos de Atenção

• Mapear apenas o perímetro conhecido: limitar a varredura aos IPs que a rede declara ignora exatamente os recursos criados fora do processo formal, que são os mais explorados.
• Não governar domínios similares: nomes com erros de digitação e variações de marca (typosquatting) hospedam phishing dirigido aos seus usuários; sem monitoramento de registros similares, a organização descobre a campanha pela vítima.
• Tratar o mapeamento como projeto: a superfície externa muda semanalmente, e um levantamento pontual fica desatualizado antes mesmo da apresentação dos resultados.
• Varredura sem autorização formal: o mapeamento externo precisa de mandato documentado, janelas acordadas e controle de intensidade para não indispor provedores nem interromper serviços.
• Achados sem dono: lista de exposições sem responsável atribuído não remedia nada; a atribuição de dono é o passo que converte descoberta em ação.
• Ignorar terceiros e aquisições: fornecedores e empresas adquiridas trazem superfície herdada que raramente entra no inventário no prazo adequado.
• Confundir cobertura de ferramenta com cobertura real: a ausência de achados pode significar que a fonte não enxergou, e não que não existe exposição; contraprova é obrigatória.

10. Integração com Outros Controles do Framework CTH

O INS.3 é a fonte primária de IOEs externos para o INS.4, que transforma cada exposição em prioridade de remediação combinando ameaça ativa e criticidade. A prática de CTI consome o mapa de superfície para avaliar a relevância de campanhas: uma CVE em componente exposto pela organização eleva o alerta de informativo para ação imediata. O grupo HNT usa o mapa para caças orientadas a exposição, e o grupo PRT assume os achados para fechar as portas que não deveriam existir.

Com o grupo SIM, o mapa de superfície alimenta cenários de simulação e testes de intrusão que exercitam exatamente os serviços que um adversário enxergaria. Com o grupo MET, métricas como número de exposições sem dono, tempo médio de remediação e variação mensal da superfície dão à liderança visão de tendência. Com o grupo GOV, o cadastro de domínios e a política de registro de nomes similares transformam o mapeamento em decisão preventiva. Essa rede de integração faz do mapeamento externo menos um levantamento técnico e mais um contrato operacional entre descoberta, decisão e remediação.