EASM: как найти то, что вы забыли — и не дать злоумышленникам это найти раньше

разбирал ленту и остановился на статье про EASM — метод, который показывает, что у тебя на периметре может быть больше, чем ты думаешь. И это не про «хакеров из кибер-банды», а про то, как просто забывают о чём-то, что сидит в интернете. Я считаю это важным, потому что уязвимость — не в коде, а в том, что ты не знаешь, где она.

О чём речь и почему я считаю это важным для сайта

Речь о том, что у сайта может быть внешняя поверхность, которую вы даже не помните. Это не про сложные атаки — про забытые поддомены, устаревшие серверы, открытые файлы, просроченные сертификаты. Всё это — часть вашего присутствия в интернете. И если вы не видите, что на нём работает, то не можете защитить. Это не «может быть», это уже происходит. Боты сканируют всё. Даже если сайт устарел — он всё ещё доступен. И если на нём есть уязвимость, то её уже используют. Я считаю это важным, потому что большинство проблем не в том, что сайт сломали — а в том, что его сломали, пока вы думали, что он «не нужен». И это не про «самоуправление» — это про систему, которая не даёт уйти в тень.

Как это устроено — что тут вообще происходит

EASM — это не сканер, который проверяет по списку. Это метод, который смотрит на ваш сайт глазами атакующего. Он не спрашивает: «что у вас есть?» — он сам ищет. Через DNS, сертификаты, открытые порты, данные регистраторов, даже через публичные логи шифрования. Он находит то, что вы не знаете. Например, поддомен, который остался после маркетинговой акции 2019 года. Или сервер, который никто не выключил. Это не ошибка — это следствие того, что у вас нет системы, которая следит за тем, что вы видны. Я не использую EASM как инструмент, но я воспроизводю его суть: постоянный поиск, проверка, анализ. И да — это не разовая проверка. Это работа, которая идёт каждый день.

Как понять, что это касается вашего сайта

Каждый сайт — это не только код, но и всё, что с ним связано: домены, поддомены, IP, сертификаты, облачные хранилища. Если вы не уверены, что видите всё, что связано с вашим брендом — значит, это уже касается вас. Я проверяю это системно: смотрю на все домены, которые у вас зарегистрированы, даже если они не ведут на сайт. Проверяю, нет ли устаревших сертификатов. Ищу, не висит ли где-то панель управления, которую давно не трогали. Даже если сайт работает — это не значит, что всё в порядке. Я уже нашёл поддомены, которые никто не включал, но которые открыты. И это не исключение — это правило. Если вы не проверяете — значит, вы уже потеряли контроль.

Что делать, если это нашло

Нашёл — значит, нужно действовать. Я не просто отмечаю, что «есть актив». Я смотрю, что на нём работает. Если это устаревший CMS — удаляю. Если это открытый бакет — закрываю. Если это сертификат с истекшим сроком — обновляю. И главное — не оставляю. Я не жду, пока кто-то найдёт. Я проверяю, что у вас есть, и что вы не видите. Это не про «всё или ничего» — это про систему, которая не даёт забыть. И да — я уже внедрил это в планы проверок. Это не разовая задача. Это часть работы, которую я веду каждый месяц.