Superficie de ataque

Un atacante no necesita entender tu arquitectura entera: le basta con una puerta que responda. Un puerto que alguien abrió “solo para probar”, un endpoint de debug que nadie retiró, un rol IAM de un proyecto cancelado. Cada pieza que existe y es alcanzable es una oportunidad. La superficie de ataqueSuperficie de ataqueConjunto de puntos por los que un atacante puede entrar, causar un efecto o extraer datos de un sistema. es el conjunto de esas oportunidades, y reducirla es uno de los controles más baratos y efectivos que existen: lo que no existe no se puede explotar.

Qué es exactamente#

NIST la define como el conjunto de puntos en el límite de un sistema, de un componente o de un entorno por los que un atacante puede intentar entrar, provocar un efecto o extraer datos. La guía de OWASP la descompone en cuatro partes:

• Todos los caminos de entrada y salida de datos y comandos: puertos, APIs, formularios, colas, ficheros que se procesan.
• El código que protege esos caminos: autenticación, autorización, validación.
• Los datos valiosos que hay detrás: PII, secretos, claves.
• El código que protege esos datos: cifrado, controles de acceso, auditoría.

Fíjate en que la salida también cuenta: un servicio que puede hacer peticiones arbitrarias a Internet ofrece un camino de exfiltración.

Tipos de superficie#

También importa desde dónde se mira. La superficie externa es lo que ve un desconocido desde Internet. La interna es lo que ve alguien que ya está dentro: una tarea comprometida, un empleado o un proveedor. Una base de datos en una subred aislada no forma parte de la superficie externa, pero sí de la interna de cualquier tarea que pueda conectarse a ella.

Inventariar antes de reducir#

No puedes proteger lo que no sabes que existe. La gestión de superficie de ataque (Attack Surface Management, ASM) consiste en descubrir de forma continua todo lo expuesto y compararlo con lo que debería estarlo. Todo proveedor ofrece piezas para esto; conviene reconocerlas por lo que hacen, no por su nombre comercial:

• Inventario de recursos y reglas de cumplimiento que marcan configuraciones peligrosas (SSH abierto a todo Internet, almacenamiento público).
• Analizador de accesos: detecta recursos compartidos fuera de tu organización (almacenes de objetos, roles, claves) y permisos que nadie usa.
• Escaneo de vulnerabilidades en imágenes de contenedor y máquinas, y la alcanzabilidad de red de esas máquinas.
• Agregador de hallazgos (CSPM) que los compara con estándares de referencia.

Cada capacidad recibe un nombre distinto en cada nube, pero es la misma idea:

Sea cual sea el proveedor, una búsqueda que conviene ejecutar en cualquier cuenta nueva es listar las reglas de entrada abiertas a todo Internet. En AWS, con la CLI:

# Grupos de seguridad con reglas de entrada abiertas a todo Internet
aws ec2 describe-security-groups \
  --filters Name=ip-permission.cidr,Values=0.0.0.0/0 \
  --query 'SecurityGroups[].{id:GroupId,nombre:GroupName,puertos:IpPermissions[].FromPort}' \
  --output table

Medirla#

No existe una cifra universal, pero sí criterios para ordenar qué reducir primero. Para cada punto de entrada, valora:

• Exposición: ¿alcanzable desde Internet, desde la red privada o solo localmente?
• Autenticación: ¿anónimo, con un usuario cualquiera o solo para administradores?
• Privilegio: ¿qué puede hacer quien lo explote? Un endpoint que ejecuta con el rol de la tarea vale lo que vale ese rol.
• Datos: ¿qué hay detrás? PII, secretos o nada sensible.

Un endpoint anónimo, público y con acceso a PII va primero. Michael Howard formalizó esta idea en Microsoft con el Relative Attack Surface Quotient: no se trata de contar puertas, sino de ponderarlas.

Reducirla#

La reducción tiene tres movimientos: eliminar lo que sobra, restringir quién alcanza lo que queda y endurecer lo que debe seguir expuesto.

La confianza del rol de despliegue merece un ejemplo (en AWS), porque es un error muy común:

{
  "Effect": "Allow",
  "Principal": { "Federated": "arn:aws:iam::111122223333:oidc-provider/token.actions.githubusercontent.com" },
  "Action": "sts:AssumeRoleWithWebIdentity",
  "Condition": {
    "StringLike": {
      "token.actions.githubusercontent.com:sub": "repo:mi-org/*"
    }
  }
}

{
  "Effect": "Allow",
  "Principal": { "Federated": "arn:aws:iam::111122223333:oidc-provider/token.actions.githubusercontent.com" },
  "Action": "sts:AssumeRoleWithWebIdentity",
  "Condition": {
    "StringEquals": { "token.actions.githubusercontent.com:aud": "sts.amazonaws.com" },
    "StringLike": {
      "token.actions.githubusercontent.com:sub":
        "repo:mi-org/citas:ref:refs/heads/main"
    }
  }
}

Con la primera versión, cualquier repositorio de la organización (incluido uno que cree un becario) puede desplegar en producción. Con la segunda, solo la rama main del repositorio de Citas.

Citas, antes y después#

Sistema: ...

| Punto de entrada | Exposición (Internet/red privada/local) | Autenticación | Datos detrás | Acción (eliminar/restringir/endurecer) |
| ---------------- | ------------------------------- | ------------- | ------------ | -------------------------------------- |
|                  |                                 |               |              |                                        |

En resumen#

• La superficie de ataque es todo punto por el que alguien puede entrar, causar un efecto o sacar datos: red, aplicación, plano de control, cadena de suministro, física y personas.
• Distingue superficie externa e interna, y no olvides la salida.
• Inventaria de forma continua (inventario de recursos, análisis de accesos, escaneo de vulnerabilidades y agregación de hallazgos) antes de decidir.
• Pondera, no cuentes: exposición, autenticación, privilegio y datos.
• Reduce en tres movimientos: eliminar, restringir y endurecer. Lo que queda se protege con el resto de principios.

Referencias#

• NIST CSRC Glossary: Attack surface↗
• OWASP: Attack Surface Analysis Cheat Sheet↗
• AWS: Blocking public access to your Amazon S3 storage↗
• AWS: Use IMDSv2↗
• GitHub Docs: Configuring OpenID Connect in Amazon Web Services↗
• AWS IAM Access Analyzer: Unused access findings↗