Pasywny audyt publicznej powierzchni organizacji pozwala uporządkować wiedzę o zasobach widocznych z internetu bez wykonywania działań intruzywnych. Taki przegląd służy do przygotowania legalnego i kontrolowanego obrazu tego, co jest już jawnie dostępne, a nie do sprawdzania odporności poprzez aktywne próby naruszenia systemu. Warunkiem wyjścia poza obserwację jest zawsze jednoznaczna zgoda właściciela zasobów.
Zakres i granice legalnego przeglądu
Najpierw trzeba ustalić, czy badana powierzchnia należy do własnej organizacji albo czy została objęta wyraźną autoryzacją. Dopiero potem można określić domeny, systemy, marki, aplikacje i usługi, które wolno uwzględnić w przeglądzie. Poza zakresem pozostają skanowanie intruzywne, ataki na dane uwierzytelniające, wykorzystywanie podatności oraz obchodzenie kontroli dostępu.
CISA opisuje Cyber Hygiene Services jako działania identyfikujące zewnętrznie dostępne zasoby, podatne usługi oraz słabe konfiguracje aplikacji internetowych. To dobry punkt odniesienia dla pasywnego audytu, bo wskazuje, że pierwszym celem jest rozpoznanie publicznie widocznej powierzchni, a nie ingerencja w środowisko. W praktyce chodzi o zebranie informacji, które już zostały wystawione do internetu, i przypisanie ich do właściwego właściciela biznesowego.
Co można ustalić bez działań intruzywnych
W bezpiecznym wariancie wynik przeglądu powinien obejmować listę znanych zasobów, ich rolę, źródło publicznej widoczności oraz poziom pewności przypisania. Można też wskazać elementy wymagające dalszej oceny przez uprawniony zespół, ale nie należy przedstawiać przypuszczeń jako potwierdzonych podatności. Sama obserwacja publicznego śladu nie potwierdza jeszcze błędu konfiguracji ani możliwości wykorzystania luki.
NIST SP 800-115 przedstawia techniczne metody testowania i oceny bezpieczeństwa oraz zalecenia dotyczące planowania takich działań. Dla redakcyjnego i operacyjnego planu oznacza to potrzebę wcześniejszego ustalenia celu, zakresu, odpowiedzialności, dopuszczalnych metod i sposobu raportowania. Każde działanie wykraczające poza obserwację powinno zostać wstrzymane do czasu uzyskania odrębnej zgody.
Praktyczny przebieg pracy
Dobry proces zaczyna się od uporządkowania granic. Następnie zespół zbiera wyłącznie publicznie dostępne informacje, porównuje je z listą dozwolonych zasobów i zapisuje źródło każdej obserwacji. Na końcu należy przejść przez przegląd wewnętrzny, usunąć błędne przypisania i oznaczyć elementy, które wymagają bezpiecznej weryfikacji przez właściciela systemu.
- Ustal i zapisz właściciela zasobów oraz zakres zgody przed wykonaniem jakiejkolwiek analizy.
- Zbuduj listę publicznie widocznych domen, usług i aplikacji bez aktywnego testowania odporności.
- Rozdziel fakty od hipotez i oznacz każde ustalenie poziomem pewności oraz źródłem.
- Przekazuj obszary wymagające dalszej oceny wyłącznie do uprawnionego zespołu.
Jak raportować wynik
Raport z pasywnego audytu powinien być zwięzły, ale precyzyjny. Warto oddzielić to, co zostało potwierdzone publicznie, od tego, co wymaga dodatkowej autoryzacji lub technicznej weryfikacji. Dobrą praktyką jest też wskazanie, które elementy znalazły się poza zakresem i dlaczego zostały wyłączone z obserwacji.
Tak przygotowany materiał wspiera porządek w inwentaryzacji i pomaga bezpiecznie planować kolejne kroki, jeśli organizacja zdecyduje się na formalną ocenę techniczną. Kluczowe pozostaje jednak to, że pasywny przegląd nie jest próbą obejścia zabezpieczeń ani testem intruzywnym. Jego celem jest uporządkowanie wiedzy o własnej lub autoryzowanej powierzchni i przekazanie dalszych czynności do właściwie uprawnionych osób.