Wat is External Attack Surface Management (EASM)?

Ontdek hoe External Attack Surface Management (EASM) organisaties helpt bij het identificeren, beoordelen en beheren van potentiële kwetsbaarheden in hun externe netwerken, waardoor het risico op cyberdreigingen en -aanvallen wordt verminderd.

Extern aanvalsoppervlakbeheer is een allesomvattende beveiligingsaanpak die gericht is op het opsporen, beheren en verminderen van risico's met betrekking tot internetgerelateerde activa. Organisaties bezitten en vertrouwen tegenwoordig op een hele reeks activa die niet alleen achter hun traditionele netwerkgrenzen liggen, maar zich ook uitstrekken tot webapplicaties, clouddiensten, mobiele API's en platforms van derden. Elk van deze externe activa vormt een potentieel toegangspunt voor cyberdreigingen en kwaadwillende actoren, wat de taak van beveiligingsteams om de risico's buiten hun directe interne netwerken te monitoren, te beveiligen en te beheersen aanzienlijk bemoeilijkt.

De aanvalsoppervlak wordt vele malen groter nu bedrijven steeds vaker gebruikmaken van cloudgebaseerde diensten, digitale transformatiestrategieën en mogelijkheden voor werken op afstand. Dit verspreide aanvalsoppervlak vraagt om oplossingen in EASM om continu en in realtime zicht te hebben op alle potentiële externe assets met mogelijke kwetsbaarheden. De visie van EASM op de beveiligingsstatus is een outside-in-visie, waarbij de digitale voetafdruk van een organisatie wordt bekeken vanuit het perspectief van een hypothetische aanvaller. Deze proactieve aanpak helpt bedrijven hun zwakke punten te identificeren en te corrigeren voordat deze kunnen worden misbruikt, waardoor ze de kans krijgen om inbreuken te voorkomen en de beveiliging van hun externe digitale omgeving te versterken.

De ruimte voor Attack Surface Management (ASM) groeit snel; Gartner noemde de uitbreiding van het aanvalsoppervlak de belangrijkste trend op het gebied van cyberbeveiliging voor 2022. Technologieën zoals Digital Risk Protection Services (DRPS), External Attack Surface Management (EASM) en Cyber Asset Attack Surface Management (CAASM) worden essentiële hulpmiddelen voor CISO's. Deze oplossingen helpen bij het visualiseren van interne en externe bedrijfssystemen, het automatiseren van het opsporen van beveiligingslacunes en het ondersteunen van een uitgebreider beeld van organisatorische risico's.

Dit artikel gaat in op de essentie van External Attack Surface Management, het belang ervan in moderne beveiligingspraktijken en praktische stappen voor het opzetten van een effectief EASM-programma.

Wat is extern aanvalsoppervlakbeheer (EASM)?

Extern aanvalsoppervlakbeheer is een reeks processen en tools die zijn ontworpen om de aan het internet blootgestelde activa van een organisatie te bewaken en te beveiligen. In tegenstelling tot traditionele beveiligingsoplossingen die zich richten op interne verdediging, werkt EASM vanuit een extern perspectief en bekijkt het de digitale voetafdruk van een organisatie zoals een potentiële aanvaller dat zou doen. Door het internet continu te scannen op activa die verband houden met een organisatie, helpt EASM kwetsbaarheden op te sporen en te beheren voordat ze door kwaadwillende actoren kunnen worden misbruikt.

Waarom is EASM zo belangrijk?

EASM is tegenwoordig hard nodig omdat de meeste organisaties cloudtechnologieën, modellen voor werken op afstand en complexe integraties met derde partijen hebben geïmplementeerd, waardoor het aanvalsoppervlak van de meeste organisaties is vergroot. Bestaande beveiligingsmaatregelen zijn doorgaans alleen gericht op traditioneel gedefinieerde interne activa, zonder dat er voldoende bescherming wordt geboden voor de externe elementen van een organisatie, zoals clouddiensten, webapplicaties en API's.

Het biedt inzicht in dergelijke externe activa, aangezien EASM het mogelijk maakt om deze externe risico's proactief op te sporen, te monitoren en te beheren. Door continu in realtime te monitoren, minimaliseert EASM blinde vlekken op het gebied van beveiliging, bevordert het de naleving van regelgeving en vermindert het de kans op datalekken en cyberaanvallen, waardoor een organisatie wordt beschermd tegen steeds veranderende externe bedreigingen.

Kenmerken van External Attack Surface Management (EASM)

Oplossingen van EASM stellen organisaties in staat om hun externe digitale activa te volgen en te beveiligen door middel van verschillende functies. Dit zijn integratieve functies die samen zorgen voor holistische zichtbaarheid, beoordeling en prioritering met betrekking tot de risico's van aan het internet blootgestelde activa, waardoor beveiligingsteams controle kunnen houden over hun aanvalsoppervlak. Hieronder volgt een nadere beschrijving van deze essentiële functies van een robuuste EASM-oplossing:

1. Asset Discovery: Een van de fundamentele mogelijkheden van EASM is het ontdekken van activa. Dit betekent simpelweg het identificeren en catalogiseren van alle internetgerelateerde activa van een organisatie. Dit kan het volgen van IP-adressen, domeinen, subdomeinen, webapplicaties, cloudinstanties of andere digitale activa die aan het internet zijn blootgesteld, omvatten. Dit helpt EASM om een volledige inventaris van deze externe activa te krijgen, waardoor een volledig beeld wordt gegeven van de externe voetafdruk van de organisatie. Zo helpt het om onopgemerkte schaduw-IT en activa van derden door interne IT- en beveiligingsteams aan het licht te brengen.
2. Kwetsbaarheidsbeoordeling: EASM-oplossingen voeren een grondige kwetsbaarheidsscan uit op de ontdekte activa om beveiligingslacunes, verkeerde configuraties en verouderde software te identificeren die een organisatie kwetsbaar kunnen maken voor mogelijke aanvallen. Deze scan omvat het herkennen van zwakke punten zoals blootgestelde poorten, onveilige configuraties en ook niet-gepatchte software, die een van de meest voorkomende vectoren voor cyberaanvallen vormen. Door dergelijke kwetsbaarheden te signaleren, kan EASM organisaties helpen bij het opsporen van zwakke plekken in hun externe activa voordat deze door hackers worden misbruikt.
3. Integratie van dreigingsinformatie: EASM-oplossingen integreren vaak bedreigingsinformatie feeds om de beveiligingscontext van elk activum te verbeteren, waardoor de verrijkte gegevens indicaties kunnen geven voor de waarschijnlijkheid en ernst van potentiële bedreigingen, waardoor organisaties kunnen begrijpen welke kwetsbaarheden actief worden aangevallen door bedreigers. Contextualisering op risiconiveau komt tot stand door de blootstelling van het activum aan bekende of opkomende bedreigingen te beoordelen, wat verder bijdraagt aan beter geïnformeerde besluitvorming bij het beheren en beperken van risico's.
4. Continue monitoring: EASM-oplossingen bieden continue, realtime monitoring van het externe aanvalsoppervlak van een organisatie. In tegenstelling tot een periodieke scan detecteert het onmiddellijk veranderingen in het aanvalsoppervlak: nieuwe activa die zijn toegevoegd, wijzigingen in bestaande activa en veranderingen in de blootstelling van die activa. Door continu te monitoren wordt ervoor gezorgd dat nieuwe of gewijzigde internetgerelateerde activa worden herkend en in kaart gebracht, terwijl tegelijkertijd rekening wordt gehouden met het dynamische karakter van het aanvalsoppervlak en risico's tijdig worden gedetecteerd en verholpen.
5. Risicoscores en prioritering: Met EASM kunnen organisaties risico's voor elk activum scoren op basis van de ernst van geïdentificeerde kwetsbaarheden, blootstellingsniveaus en inzichten uit dreigingsinformatie. Risicoscores en prioritering helpen beveiligingsteams zich dus eerst te concentreren op de activa met de hoogste waarde en het gebruik van de vrij beperkte middelen zo goed mogelijk te beperken. Het gebruik van EASM kan helpen om risico's op volgorde van prioriteit te rangschikken om de inspanningen voor het beperken van bedreigingen te optimaliseren, waardoor misbruik mogelijk wordt verminderd en de algehele beveiligingspositie wordt verbeterd.

Intern versus extern aanvalsoppervlakbeheer: cruciale verschillen

• Intern beheer van het aanvalsoppervlak richt zich op het beheren en beschermen van activa die zich binnen de netwerkperimeter bevinden, zoals servers, werkstations, databases en alle andere interne infrastructuur. Het richt zich in wezen op strategieën die toegangscontrole, patchbeheer, eindpuntbeveiliging en netwerkbeveiliging bieden om ongeoorloofde toegang en kwetsbaarheden binnen het betreffende netwerk te beperken.
• Aan de andere kant verwijst Extern aanvalsoppervlakbeheer (EASM) verwijst naar die activa die van buiten de organisatie bereikbaar zijn, zoals webapplicaties, cloudbronnen, API's en domeinen die via internet toegankelijk zijn. EASM biedt wel degelijk “het perspectief van een aanvaller” van de organisatie, door beveiligingsspecifieke risico's te dekken die betrekking hebben op activa die gemakkelijk op afstand toegankelijk zijn, maar minder zichtbaar zijn voor interne beveiligingstools. Door zich te richten op externe elementen die blootstaan aan aanvallers, kan EASM externe kwetsbaarheden en daadwerkelijke bedreigingen voor de beveiligingsmogelijkheden van de organisatie identificeren, als aanvulling op interne beveiligingsmaatregelen.

Belangrijkste elementen van extern aanvalsoppervlakbeheer

Een EASM-strategie omvat meerdere aspecten, die allemaal zorgen voor inclusief inzicht, realtime risicobeheer en proactieve dreigingsbeperking. Het gaat gepaard met een uitgebreide inventarisatie van alle bedrijfsmiddelen.

1. Uitgebreide inventarisatie van bedrijfsmiddelen: Het bijhouden van een actuele inventaris van alle naar buiten gerichte activa staat centraal bij het begrijpen en beheren van het aanvalsoppervlak. Voorbeelden hiervan zijn domeinen, IP-adressen, clouddiensten, webapplicaties en andere met het internet verbonden activa die verband houden met de organisatie. Een dergelijke inventaris van activa helpt beveiligingsteams bij het opsporen van schaduw-IT en externe bronnen die mogelijk onbekende risico's binnen de organisatie met zich meebrengen.
2. Realtime monitoring en detectie: Continu scannen is in dit geval essentieel, omdat de evolutie van het aanvalsoppervlak onmiddellijk kan worden opgemerkt. Door het internet in realtime te scannen met externe tools voor het beheer van het aanvalsoppervlak kunnen nieuwe of gewijzigde activa worden opgespoord en kan alarm worden geslagen als er nieuwe kwetsbaarheden zijn geïntroduceerd. Zo kunnen veranderingen worden opgemerkt zodra ze zich voordoen en kan alarm worden geslagen in geval van een verandering die potentiële risico's met zich meebrengt of een organisatie kwetsbaar maakt voor potentiële bedreigingen.
3. Risicobeoordeling en prioritering: Goede risicobeoordeling en prioriteringsmogelijkheden in effectieve EASM stellen een organisatie in staat om haar inspanningen te richten op de belangrijkste risico's. In EASM worden voor elke kwetsbaarheid risicoscores toegekend op basis van de ernst en de waarschijnlijkheid ervan, waardoor beveiligingsteams hun middelen effectiever kunnen inzetten, omdat ze risicovolle activa kunnen repareren voordat ze erger worden.
4. Geautomatiseerde herstelmaatregelen: Het aanvalsoppervlak evolueert voortdurend en herstelmaatregelen zijn niet mogelijk zonder automatisering. Blootstellingen en kwetsbaarheden leiden tot onmiddellijke automatische reacties, waaronder het aanbrengen van patches, het wijzigen van configuraties en het resetten van machtigingen. Het schaalt ook herstelinspanningen, terwijl de focus van beveiligingsteams wordt verlegd naar complexere of strategische taken.
5. Rapportage en analyse: Gedetailleerde rapportage en analyse helpen organisaties om weloverwogen beslissingen te nemen over hun externe aanvalsoppervlak. Het bijhouden van risico's, wijzigingen in activa en herstelmaatregelen in detail moet hiervoor zorgen. Dashboards en rapporten in de EASM-oplossing helpen beveiligingsteams en besluitvormers om trends in hun aanvalsoppervlak te beoordelen, inzicht te krijgen in de effectiviteit van de getroffen beveiligingsmaatregelen en een weloverwogen koers te varen voor toekomstige beveiligingsstrategieën. Dergelijke inzichten zijn van cruciaal belang om aan te tonen dat aan regelgevingsnormen wordt voldaan en om de algehele beveiligingsstatus te meten.

Hoe werkt EASM?

Oplossingen die in EASM zijn ontwikkeld, bieden optimale functionaliteit door middel van geautomatiseerde scans, gegevensaggregatie en dreigingsinformatie om externe digitale activa altijd te vinden en te identificeren door middel van constante periodieke zoekopdrachten.

Verschillende cruciale stappen in dit verband zijn gericht op het vinden en dichten van zoveel mogelijk potentiële kwetsbaarheden:

1. Asset Discovery: EASM is gebaseerd op asset discovery, waarbij tools gebruikmaken van zoekmachines, OSINT en eigen gegevensbronnen om alle internetgerelateerde assets van de organisatie te extraheren. Dit omvat domeinen, IP-adressen, clouddiensten, API's en andere bronnen. Door deze assets in kaart te brengen, krijgt u een grondig inzicht in de externe digitale voetafdruk van een organisatie, die anders misschien niet door interne teams zou worden opgespoord.
2. Identificatie van kwetsbaarheden: De tools scannen de in kaart gebrachte activa en zoeken naar bekende kwetsbaarheden, verkeerde configuraties, open poorten, onveilige eindpunten en niet-gepatchte software. Dit is een van de stappen in het identificeren van kwetsbaarheden, waarbij toegangspunten worden blootgelegd die aanvallers kunnen gebruiken om de organisatie binnen te dringen. Door vooruit te plannen en de risico's vroeg genoeg te signaleren, kunnen deze worden verholpen.
3. Bedreigingsdetectie: Hierbij wordt EASM geïntegreerd in feeds met bedreigingsinformatie. Door realtime bedreigingsinformatie te vergelijken met assets en kwetsbaarheden, kunnen externe tools voor het beheer van het aanvalsoppervlak indicatoren voor hoge risico's selecteren, zoals kwetsbaarheden die actief worden misbruikt in huidige aanvallen. Dit geeft de beveiligingsteams inzicht in welke bedreigingen het meest kritiek zijn, zodat ze eerst de kritieke kwetsbaarheden kunnen aanpakken.
4. Continue beoordeling: EASM scant continu het externe aanvalsoppervlak en meldt onmiddellijk elke verandering, nieuw ontdekte asset of opkomende blootstelling. Met continue beoordeling worden veranderingen in het type nieuwe cloudinstanties of veranderingen in webapplicaties onmiddellijk geïdentificeerd, waardoor de organisatie beoordelingen kan maken en actie kan ondernemen op basis van die veranderingen vanaf het moment dat ze worden geïdentificeerd.
5. Aanbevelingen voor herstelmaatregelen: EASM-tools geven op basis van risiconiveaus en potentiële gevolgen prioriteit aan herstelmaatregelen, zodat organisaties beter kunnen plannen en middelen kunnen inzetten waar herstel het meest nodig is. Het stroomlijnt het responsproces door het team in staat te stellen kwetsbaarheden te verminderen op basis van de ernst en de potentiële impact op de organisatie.

Hoe bouw je een effectief EASM-programma op?

Er bestaat een gestructureerde aanpak die zichtbaarheid van activa, continue monitoring, dreigingsinformatie en proactieve responsmogelijkheden combineert voor het ontwerpen van een effectief EASM-programma.

Enkele van de belangrijkste stappen bij het opzetten van een robuust EASM-programma zijn:

1. Identificeer en inventariseer activa: Begin met een uitgebreid inventarisatieproces om een basisinventaris op te stellen van alle externe activa. Deze inventaris van activa vormt de basis van het EASM-programma en zorgt ervoor dat alle potentiële aanvalsvectoren in kaart worden gebracht en worden gemonitord.
2. Continue monitoring implementeren: Ontwikkel continue processen voor het scannen van de externe omgeving om nieuwe activa, kwetsbaarheden en bedreigingen te identificeren zodra deze zich voordoen. Door continue monitoring krijgt een organisatie realtime inzicht in veranderingen en kan zij in realtime reageren op dynamische risico's.
3. Bedreigingsinformatie integreren: Herschep informatie over activa met behulp van realtime feeds van bedreigingsfeeds om contextuele achtergrondinformatie over potentiële bedreigingen en exploitatiemiddelen in te voeren. Integratie van bedreigingsinformatie ondersteunt een betere risicoprofilerings- en prioriteringsprocedure, waarmee wordt bepaald welke kwetsbaarheden het eerst moeten worden verholpen.
4. Prioriteer herstelmaatregelen: Gebruik risicoscores en prioritering om de meest risicovolle assets en kwetsbaarheden te identificeren waarop u zich eerst moet richten. Door de hoogste risiconiveaus aan te pakken, wordt het gebruik van middelen gemaximaliseerd en wordt de kans dat uw echt belangrijke activa worden blootgesteld, geminimaliseerd.
5. Ontwikkel een incidentresponsplan: Ontwerp een specifiek incidentresponsplan voor externe contacten waarin escalatiepaden, communicatiestrategieën en rollen voor de betrokken leden worden beschreven. Het incidentresponsplan bereidt een organisatie voor om snel en effectief te reageren op incidenten die van invloed zijn op haar activa die naar de buitenwereld zijn gericht.
6. Werk het beleid regelmatig bij: Zorg voor bijgewerkte beveiligingsbeleidsregels en -procedures die zowel wijzigingen binnen de digitale activa van de organisatie als nieuwe externe bedreigingen omvatten. Een goede afstemming resulteert in een EASM-programma dat op tijd is en toch bestand is tegen nieuwe bedreigingen.

Voordelen van het implementeren van een EASM-strategie

Het gebruik van een EASM-strategie kan organisaties aanzienlijke voordelen opleveren op het gebied van beveiliging, bedrijfsvoering en financiën. Samen zorgen deze ervoor dat de organisatie zich beter kan beschermen tegen bedreigingen van externe bronnen, haar gevoelige informatie kan beveiligen en een optimaal gebruik van beveiligingsmiddelen kan garanderen.

Hier volgt een uitgebreid overzicht van de belangrijkste voordelen van het gebruik van een EASM-strategie:

• Verbeterde zichtbaarheid: EASM biedt een outside-in perspectief, waardoor een organisatie al haar internetgerelateerde activa kan zien, inclusief die van schaduw-IT, platforms van derden en onbeheerde bronnen. Totale zichtbaarheid is nodig om het externe aanvalsoppervlak te begrijpen en te beheren, dat meestal groter is dan verwacht vanwege nieuwe clouddiensten, inspanningen op het gebied van digitale transformatie en afhankelijkheden van derden. Als u precies weet welke activa er zijn en waar ze zich bevinden, kunt u alle mogelijke toegangspunten beter evalueren en beveiligen, waardoor de algehele beveiliging wordt versterkt.
• Proactieve dreigingsbeperking: EASM stelt beveiligingsteams in staat om een actieve houding aan te nemen bij het beheer van bedreigingen door kwetsbaarheden vroegtijdig te identificeren. Met de EASM-tools kunnen teams externe activa en hun blootstellingen en zwakke punten scannen om deze te verhelpen voordat ze het doelwit worden van aanvallers of door hen worden misbruikt. Dit betekent dat verbeterde detectiemogelijkheden de kans op een succesvolle cyberaanval aanzienlijk verkleinen, waardoor organisaties ook de waarschijnlijke schade kunnen minimaliseren en de bedrijfscontinuïteit kunnen waarborgen. Threat hunting als proactieve dreigingsbeperking stimuleert ook een preventieve cultuur waarin teams er voortdurend naar streven om dreigingen voor te blijven in plaats van te wachten tot er inbreuken plaatsvinden.
• Verminderd aanvalsoppervlak: Continue monitoring in combinatie met herstelmaatregelen minimaliseert hetexterne aanvalsoppervlakte van een organisatie in de loop van de tijd. Voor elke ontdekte zwakte of exploiteerbare toestand van het systeem hebben deze hackers een mogelijk toegangspunt om hun aanvallen uit te voeren. Scannen en herhaling verminderen het aanvalsoppervlak door middel van risicoprioritering en herstelmaatregelen die worden aangeboden door de EASM-tools, zodat de organisaties de beschikbare middelen in handen van kwaadwillende actoren verminderen. Deze voortdurende afname van blootgestelde activa vertaalt zich in minder potentiële aanvalsmogelijkheden, waardoor het voor hackers uiterst moeilijk wordt om in te breken in de virtuele ruimte van de organisatie.
• Verbeterde naleving: EASM is een van de middelen die kunnen helpen bij het realiseren van de wettelijke vereisten en naleving van normen door gegevensbescherming en risicobeheer te handhaven. De meeste van deze voorschriften, zoals GDPR, HIPAA en PCI-DSS, vereisen dat elk bedrijf al zijn activa bijhoudt, beschermt en documenteert, maar met de nadruk op de activa die in contact staan met het internet. EASM draagt bij aan het voldoen aan deze vereisten door middel van regelmatige scans en herbeoordelingen van externe activa, gedetailleerde rapporten en inspanningen om de gegevens te beveiligen in overeenstemming met de beveiligingsvereisten. Deze ondersteuning bij naleving stelt een organisatie niet alleen in staat om de kans op sancties te verkleinen, maar bouwt ook vertrouwen op bij klanten en partners.
• Kostenefficiëntie: De EASM-strategie minimaliseert de kans op dure beveiligingsincidenten aanzienlijk, omdat het een organisatie de mogelijkheid biedt om proactief inzicht te krijgen in haar kwetsbaarheden. Dit is aanzienlijk goedkoper dan het herstel na een aanval, in termen van financiële en reputatieschade, herstelkosten, juridische kosten, boetes en verlies van klantvertrouwen. Nog belangrijker is dat EASM de middelen biedt om beveiligingsmiddelen beter te organiseren door activiteiten te stroomlijnen op basis van prioriteiten van activa en kwetsbaarheden, zodat tijd en budget effectief kunnen worden toegewezen aan de meest kritieke gebieden.

Belangrijkste uitdagingen bij het beheer van externe aanvalsoppervlakken

Hoewel EASM aanzienlijke beveiligingswaarde biedt, blijkt de implementatie en het beheer van een EASM-oplossing met best practices voor de meeste organisaties een uitdaging te zijn. Deze moeten worden beheerd voor optimale EASM-prestaties en een sterke cyberbeveiligingspositie.

1. Shadow IT: Shadow IT verwijst naar alle IT-systemen, software of diensten die binnen een organisatie worden gebruikt zonder uitdrukkelijke goedkeuring of toezicht van de IT-afdeling. Shadow IT-middelen omvatten ongeautoriseerde cloudaccounts, applicaties en apparaten. Deze vormen een aanzienlijk risico, omdat ze vaak nietop typische activalijsten voorkomen. Omdat dergelijke activa onzichtbaar blijven, worden ze niet gecontroleerd of beschermd tegen aanvallen.
2. Identificatie van activa: Het detecteren en classificeren van alle externe activa, ongeacht of deze intern zijn ontwikkeld of zijn uitbesteed aan derden, aannemers of verouderde systemen, is relatief complex. EASM-oplossingen moeten in staat zijn om niet-beschikbare of niet-geregistreerde activa te detecteren in verschillende cloudomgevingen, bij externe leveranciers of in oude systemen binnen een organisatie die deze mogelijk niet gemakkelijk kunnen identificeren. Er moeten verschillende technieken worden gebruikt om ervoor te zorgen dat alle externe activa correct worden geïnventariseerd, zodat het aantal onbeheerde toegangspunten wordt verminderd.
3. Vals-positieve resultaten: Geautomatiseerd scannen is een essentieel onderdeel van EASM, maar soms levert dit vals-positieve resultaten op, wat resulteert in onnodige alarmen en veel werk voor beveiligingsteams. Vals-positieve resultaten kunnen zeer vaak voorkomen, wat kan leiden tot alarmmoeheid of tot een verslapping van de waakzaamheid van beveiligingsteams, waardoor zij in de toekomst mogelijk echte bedreigingen niet meer herkennen. De beste EASM-oplossingen moeten vals-positieve resultaten aanzienlijk minimaliseren en een schoon systeem opleveren om echte bedreigingen te onderscheiden van minder ernstige problemen.
4. Complexiteit bij het prioriteren van risico's: Organisaties staan meestal voor uitdagingen bij het prioriteren van herstelmaatregelen, omdat de risiconiveaus voor verschillende soorten kwetsbaarheden variëren. Zonder duidelijke kaders voor risicoprioritering worden middelen mogelijk niet op de juiste manier besteed en gaan tijd en moeite verloren aan kwesties met een laag risico, terwijl de meest kritieke kwetsbaarheden onopgelost blijven. Acties moeten daarom worden gericht op activa met een hoog risico, aan de hand van een robuuste risicobeoordelingsmethodologie die als leidraad dient voor beveiligingsteams.
5. Schaalbaarheid: Naarmate organisaties groeien en opschalen, neemt ook hun digitale voetafdruk toe, waardoor het externe aanvalsoppervlak groter en complexer wordt. Daarom hebben ze EASM-oplossingen nodig die schaalbaar zijn en kunnen worden uitgebreid naar nieuwe activa, locaties en diensten, met constante monitoring en bescherming. Schaalbaarheid is een noodzaak voor de meeste organisaties wanneer ze nieuwe technologieën invoeren, uitbreiden naar nieuwe markten of dynamische cloudomgevingen, en daardoor blijven ze zich in al deze gevallen voortdurend blootstellen aan toenemende externe bedreigingen.

Best practices voor het beheer van externe aanvalsoppervlakken

Om EASM effectiever te maken, moeten organisaties best practices toepassen die proactief beheer, effectief gebruik van middelen en voortdurende verbetering op de volgende gebieden bevorderen:

1. Regelmatige inventarisatie van activa: Voer periodieke scans uit om alle externe activa, inclusief nieuwe of recent gewijzigde activa, te detecteren en toe te voegen aan de inventaris. Regelmatige detectie helpt om veranderingen in de externe omgeving op te merken, inclusief activa die zonder IT-kennis zijn gecreëerd, waardoor het risico op schaduw-IT wordt verminderd en de activaregistratie nauwkeurig en up-to-date blijft.
2. Automatiseer monitoring en waarschuwingen: Het automatiseren van monitoring en waarschuwingen vermindert de handmatige werklast en zorgt ervoor dat veranderingen in de externe omgeving tijdig worden doorgevoerd. Routinematige scans, kwetsbaarheidswaarschuwingen en realtime tracking van nieuwe assets helpen de responsiviteit van beveiligingsteams op bedreigingen te verbeteren en deze beter te beperken voordat ze ernstiger worden.
3. Bedreigingsinformatie integreren: Door realtime dreigingsinformatie toe te voegen aan EASM kan een organisatie risico's contextualiseren op basis van actuele dreigingsgegevens. Dreigingsinformatie maakt het mogelijk om prioriteiten te stellen voor kwetsbaarheden door te laten zien welke kwetsbaarheden daadwerkelijk actief worden misbruikt of aangevallen, waardoor gerichtere herstelmaatregelen kunnen worden genomen.
4. Integratie met kwetsbaarheidsbeheer: EASM moet daarom worden geïntegreerd met kwetsbaarheidsbeheer om een alomvattende beveiligingsaanpak te bieden. Deze integratie zorgt ervoor dat beveiligingsteams zowel interne als externe kwetsbaarheden vanuit één bron kunnen volgen, waardoor de zichtbaarheid wordt verbeterd en een meer samenhangend risicobeheer van het gehele digitale ecosysteem binnen de organisatie wordt ondersteund.
5. Beleid regelmatig herzien en bijwerken: Hoe verder een digitaal transformatie-initiatief vordert, hoe groter het externe aanvalsoppervlak wordt. Het is daarom van cruciaal belang dat het beveiligingsbeleid regelmatig wordt herzien en bijgewerkt, vooral na nieuwe digitale initiatieven, overnames of veranderingen in het gebruik van de cloud. Door dit beleid up-to-date te houden, wordt ervoor gezorgd dat het in overeenstemming is met de meest recente beveiligingsvereisten en digitale activa, waardoor de organisatie klaar is om weerbaar te zijn tegen externe bedreigingen.

Overwegingen bij het kiezen van een EASM-tool

Bij de keuze van een EASM-tool moet ervoor worden gezorgd dat de oplossing uitgebreid, schaalbaar en aanpasbaar is om te voldoen aan de opkomende digitale en beveiligingsbehoeften van een organisatie. Enkele overwegingen zijn:

1. Uitgebreide dekking: Een goede EASM-tool omvat alle brede externe activa, zoals domeinen, IP-adressen voor cloudservices, API's en systemen van derden. Deze volledige dekking is essentieel om blinde vlekken te voorkomen, zodat het beveiligingsteam het hele externe aanvalsoppervlak kan volgen. Dit is erg belangrijk in organisaties met veel digitale producten, waar alle componenten die aan het internet zijn blootgesteld voortdurend worden bewaakt.
2. Schaalbaarheid: Organisaties breiden hun digitale omgevingen vaak uit met nieuwe clouddiensten, partnerschappen en overnames. Een schaalbare EASM-tool kan meegroeien met de organisatie en biedt ruimte voor extra activa, cloudomgevingen en externe kantoren zonder dat dit ten koste gaat van de prestaties. Schaalbaarheid helpt ervoor te zorgen dat beveiligingsteams consistent zicht en controle behouden naarmate het aanvalsoppervlak van de organisatie groeit.
3. Integratiemogelijkheden: Integratie van de EASM-tool met andere beveiligingsoplossingen, zoals SIEM-platforms, kwetsbaarheidsbeheersystemen en incidentrespons-tools – stroomlijnt workflows en centraliseert monitoring. Deze integratie ondersteunt gecoördineerde waarschuwingen en respons, waardoor de tijd om bedreigingen te detecteren en erop te reageren wordt verkort. EASM-integratie met een SIEM kan bijvoorbeeld externe assetwaarschuwingen correleren met interne bedreigingen, waardoor een uitgebreider beeld van het beveiligingslandschap wordt geboden.
4. Gebruiksvriendelijke interface: Dankzij een intuïtieve interface en aanpasbare dashboards kunnen beveiligingsteams snel toegang krijgen tot kritieke informatie en deze analyseren. Een gebruiksvriendelijk ontwerp kan de trainingstijd voor nieuwe gebruikers minimaliseren en waarschuwingsmoeheid verminderen, aangezien teams zich alleen richten op bedreigingen met hoge prioriteit. Het gebruiksgemak biedt de zekerheid dat beveiligingsprofessionals de functionaliteit van de tool voldoende kunnen benutten om externe assets te monitoren en te beschermen.
5. Verrijking van dreigingsinformatie: Dreigingsinformatie geeft invulling aan risico's en helpt teams om prioriteiten te stellen op basis van actieve, bekende dreigingen. EASM-tools die dreigingsinformatie integreren, bieden realtime informatie over opkomende risico's, zoals dreigingsactoren activiteiten, exploit-trends, enzovoort, waardoor de organisatie zich kan concentreren op de meest urgente kwesties. Deze verrijking is van cruciaal belang voor een weloverwogen, proactief besluitvormingsproces op het gebied van beveiliging.
6. Automatiseringsopties: EASM-automatisering zal de handmatige inspanningen op het gebied van asset discovery, waarschuwingen en het prioriteren van kwetsbaarheden aanzienlijk verminderen. Geautomatiseerde workflows zullen ook de responstijden verbeteren, zodat teams zich kunnen concentreren op strategische initiatieven in plaats van op repetitieve taken. Een goed geautomatiseerde EASM-tool verbetert de efficiëntie met minimale menselijke fouten en maakt een beveiligingsprogramma daarmee veerkrachtiger.

Conclusie

EASM speelt een cruciale rol bij het beveiligen van de internetgerelateerde activa van een organisatie in deze steeds complexere digitale omgeving. Het zorgt ervoor dat deze continu in realtime zichtbaar zijn, zodat kwetsbaarheden kunnen worden geïdentificeerd, risico's kunnen prioriteren en proactief kunnen reageren op aanvallen van buitenaf. Op deze manier kunnen beveiligingsteams potentiële problemen beteugelen voordat ze kunnen worden uitgebuit, waardoor hun organisaties zo min mogelijk te maken krijgen met cyberdreigingen.

Een efficiënt EASM-programma is opgebouwd uit een combinatie van de juiste tools, voortdurende monitoring en best practices, zoals het voortdurende proces van het ontdekken van activa en de integratie van dreigingsinformatie. Een schaalbare EASM-strategie zorgt ervoor dat deze goed meegroeit met de organisatie en tegelijkertijd kan worden geïntegreerd in andere beveiligingsplatforms voor een uniforme beveiligingshouding.

Organisaties profiteren niet alleen van een betere zichtbaarheid en controle van externe risico's, maar ook van ondersteuning bij compliance-inspanningen, het verkleinen van het aanvalsoppervlak en de algehele weerbaarheid tegen cyberaanvallen door de implementatie van EASM. Aangezien de bedreigingen van buitenaf zich blijven ontwikkelen, is EASM een proactieve verdediging die een organisatie niet mag negeren om haar digitale voetafdruk te beschermen.

FAQs

Wat is EASM?

EASM is een benadering van cyberbeveiliging die risico's identificeert, evalueert en aanpakt voor alle internetgerelateerde activa en diensten van een organisatie. Het verbetert de algehele cyberbeveiliging door verschillende aanvalsoppervlakken nauwlettend te monitoren en te beheren.

Veelvoorkomende externe aanvalsoppervlakken om te monitoren?

Veelvoorkomende externe aanvalsoppervlakken die moeten worden gecontroleerd zijn onder meer websites en webapplicaties, cloudopslagdiensten, openbaar toegankelijke databases, IoT-apparaten, API's, VPN's en blootgestelde netwerkdiensten zoals SSH of RDP. Voor phishing en brandjacking moeten de aanwezigheid op sociale media, domeinen en dochterondernemingen worden gecontroleerd. Door deze activa regelmatig te scannen, kunnen verborgen kwetsbaarheden worden opgespoord en onvoorziene blootstellingen worden voorkomen.

Wat is het verschil tussen Attack Surface Management en External Attack Surface Management?

ASM omvat alles wat er mis kan gaan binnen de interne en externe interfaces van de organisatie. EASM houdt zich echter alleen bezig met het beheer en de bescherming van aan het internet blootgestelde middelen en diensten. ASM kijkt dus naar de binnenkant, terwijl EASM zich richt op externe kwetsbaarheden die toegankelijk zijn voor en misbruikt kunnen worden door externe bedreigingen.

Waarom is EASM cruciaal voor moderne cyberbeveiliging?

EASM is belangrijk omdat het huidige aanvalslandschap voornamelijk gericht is op het misbruiken van externe kwetsbaarheden. Het toegenomen gebruik van clouddiensten, IoT en werken vanaf elke locatie heeft het aanvalsoppervlak van externe aanvallers exponentieel vergroot en veel meer toegangspunten geopend voor verwoestende cyberdreigingen. Daarom kan het identificeren van kwetsbaarheden met behulp van EASM deze risico's beperken voordat er een verwoestende inbreuk plaatsvindt op de reputatie, gegevens of financiële activa van een organisatie.

Wat zijn de belangrijkste uitdagingen bij het beheren van een extern aanvalsoppervlak?

De belangrijkste uitdagingen zijn de snelheid waarmee de externe activa elke dag groeien, de complexiteit van het opsporen van onbekende of schaduw-IT, de snelheid waarmee nieuwe onbekende kwetsbaarheden ontstaan en de manier waarop prioriteit moet worden gegeven aan herstelmaatregelen. Voor veel organisaties vormen de kostenbeheersing van een holistische EASM-oplossing en de integratie ervan in bestaande beveiligingsworkflows een zeer belangrijke hindernis bij de invoering ervan.

Hoe kunnen EASM-tools worden geïntegreerd in bestaande beveiligingsworkflows?

API's maken een interface mogelijk met bestaande beveiligingsworkflows tussen SIEM-systemen, kwetsbaarheidsscanners en ITSM-platforms. Een dergelijke integratie maakt geautomatiseerde ticketing voor het verhelpen van kwetsbaarheden, verbeterde dreigingsinformatie en uniforme zichtbaarheid van alle beveiligingsactiviteiten mogelijk, waardoor het algehele cyberbeveiligingsecosysteem wordt versterkt zonder dat gevestigde processen worden verstoord.

Hoe kunnen organisaties aan de slag gaan met EASM?

Om met EASM te beginnen, moeten organisaties eerst een lijst maken van hun internetgerelateerde activa. Vervolgens moeten ze een krachtig EASM-platform implementeren dat continue monitoring, geautomatiseerde kwetsbaarheidsscans en geprioriteerde richtlijnen voor het verhelpen van kwetsbaarheden biedt. Daarnaast moeten ze een duidelijk beveiligingsbeleid opstellen, regelmatig trainingen organiseren voor de IT- en beveiligingsteams en ervoor zorgen dat het management achter het beleid staat om een cultuur van proactief cyberbeveiligingsbeheer te creëren.