DefiniciónLa superficie de ataque es el conjunto de puntos por los que un intruso puede intentar entrar en un entorno o extraer datos de él. ASM es la práctica de mapearla y reducirla de forma continua; EASM se centra en lo expuesto a internet.
Qué compone la superficie de ataque
La superficie incluye todo lo que un atacante puede alcanzar:
- Externa: dominios, subdominios, IP, aplicaciones web, API, VPN, servicios en la nube y certificados expuestos a internet.
- Interna: servidores, estaciones de trabajo, aplicaciones y cuentas accesibles desde la red de la empresa.
- Humana: personas que pueden ser blanco de phishing e ingeniería social.
- Terceros: proveedores e integraciones con acceso a sus sistemas o datos.
Cómo funciona ASM/EASM
El ASM (Attack Surface Management) trata la superficie como algo que cambia todo el tiempo. El EASM (External Attack Surface Management) mira el entorno desde afuera hacia adentro, como lo haría un atacante. Descubre de forma continua activos vinculados a la organización, incluidos los que nadie recordaba, como sistemas heredados, entornos de prueba olvidados y servicios contratados sin pasar por TI (shadow IT). Luego identifica exposiciones, como puertos abiertos, versiones vulnerables, configuraciones incorrectas y certificados vencidos, y las deriva para su corrección.
ASM vs gestión de vulnerabilidades
La gestión de vulnerabilidades parte de un inventario conocido y busca fallas en él. El ASM responde a una pregunta previa: ¿qué existe y está expuesto? Ambas prácticas se complementan. Un activo que no está en el inventario no se escanea ni se corrige, y es justamente por él por donde empiezan muchos ataques. Reducir la superficie, apagando lo que no es necesario, también disminuye la cantidad de fallas a gestionar.
Preguntas frecuentes
¿Cuál es la diferencia entre ASM y EASM?
ASM cubre toda la superficie de ataque, interna y externa. EASM se centra en los activos expuestos a internet, vistos desde afuera, como los vería un atacante.
¿Cómo reducir la superficie de ataque?
Manteniendo el inventario actualizado, apagando servicios y sistemas sin uso, restringiendo lo que queda expuesto a internet, exigiendo MFA y corrigiendo rápidamente las fallas de los activos expuestos.