Superfície de ataque externa: descubra o que sua empresa expõe na internet

O que é superfície de ataque externa e por que ela cresce sem ninguém perceber

Superfície de ataque externa é tudo o que a empresa tem acessível pela internet: endereços IP públicos, domínios e subdomínios, portas abertas no firewall, servidores de e-mail, VPNs, painéis de administração, aplicações web, APIs, armazenamento em nuvem e até serviços de terceiros que respondem em nome da organização. Cada item é uma possível porta de entrada. O atacante não precisa de todas, basta uma.

Essa superfície quase nunca fica parada. Um fornecedor publica um ambiente de homologação para testar uma integração. Um colaborador libera o acesso remoto à área de trabalho para resolver um problema às pressas. Uma campanha de marketing ganha um subdomínio numa plataforma externa, e a migração para a nuvem cria máquinas com IP público. Meses depois ninguém lembra que aquilo existe, mas o serviço continua no ar, sem atualização e sem monitoramento.

Por isso o tema ganhou nome próprio no mercado: EASM, sigla de External Attack Surface Management (gestão da superfície de ataque externa). A ideia é olhar a empresa como o invasor olha, de fora para dentro, e manter esse inventário sempre atualizado. Não basta revisar uma vez por ano numa auditoria.

O que costuma ficar exposto: portas, serviços e subdomínios esquecidos

Nas avaliações de exposição, alguns achados aparecem em empresas de todos os tamanhos. Raramente são falhas sofisticadas. Na maioria das vezes, são configurações feitas para facilitar algo pontual que acabaram ficando de vez. As mais comuns:

• Área de trabalho remota (RDP, porta 3389) aberta direto para a internet, um dos caminhos mais usados para ataques de ransomware.
• Compartilhamento de arquivos SMB (porta 445) e FTP (porta 21) sem criptografia ou com senhas fracas.
• Bancos de dados acessíveis pela internet, como SQL Server (1433), MySQL (3306), PostgreSQL (5432), MongoDB (27017) e Redis (6379).
• Painéis de administração de firewall, roteador, câmeras IP, impressoras e storages acessíveis pela internet.
• Subdomínios antigos (teste, homolog, dev, old) rodando versões desatualizadas de sistemas ou de gerenciadores de site.
• Registros DNS que apontam para recursos de nuvem já apagados, o que permite o sequestro de subdomínio (subdomain takeover).
• VPNs e gateways de acesso remoto sem autenticação multifator e sem as correções de segurança mais recentes.

Cada item tem um risco próprio. Uma porta RDP exposta recebe tentativas automáticas de login dia e noite. Um banco de dados aberto pode vazar dados pessoais de clientes e gerar obrigações perante a LGPD. Um subdomínio sequestrado pode hospedar páginas de phishing com o nome verdadeiro da sua empresa, o que dá a elas uma credibilidade que nenhum domínio falso teria.

Existe também a exposição indireta: senhas de colaboradores vazadas em incidentes de outros sites, chaves de API publicadas por engano em repositórios de código públicos e documentos internos encontrados por mecanismos de busca. Tudo isso faz parte da superfície de ataque, mesmo fora dos servidores da empresa.

Como um atacante enxerga sua empresa antes de atacar

Antes de tentar invadir, o atacante faz um reconhecimento. Ao contrário do que muitos gestores imaginam, essa etapa não exige acesso privilegiado nem ferramentas caras. Buscadores especializados como Shodan e Censys percorrem a internet sem parar e registram quais serviços respondem em cada endereço IP, com versão do software e certificados. Basta pesquisar o nome da empresa ou a faixa de IPs para ter uma boa fotografia do que está exposto.

Os registros públicos de Certificate Transparency são outra fonte valiosa. Todo certificado TLS emitido por uma autoridade certificadora pública entra em registros abertos que qualquer pessoa pode consultar, com os nomes de subdomínio incluídos. Com ferramentas como o crt.sh, dá para listar em segundos subdomínios que a própria equipe de TI talvez nem conheça. Somando consultas DNS, histórico de registros e dados de WHOIS, o mapa fica quase completo.

Por fim, vem a varredura ativa. Ferramentas de código aberto conseguem testar uma porta em todo o espaço de endereços IPv4 em questão de horas. Assim, um serviço vulnerável publicado hoje pode ser encontrado por grupos criminosos antes do fim do dia.

Se você não sabe o que a sua empresa expõe na internet, pode ter certeza de que alguém já sabe. A questão é quem descobre primeiro: a sua equipe ou o atacante.

Como mapear a superfície de ataque externa na prática

Mapear a exposição não precisa começar com uma ferramenta complexa. Comece organizando o que a empresa já sabe e depois compare esse inventário com o que aparece de fora. Este roteiro funciona bem para pequenas e médias empresas:

1. Levante domínios e IPs públicos: liste todos os domínios registrados, os blocos de IP contratados das operadoras e os endereços públicos dos serviços em nuvem (Azure, AWS, Google Cloud e hospedagens).
2. Descubra os subdomínios: junte os registros da zona DNS com consultas aos registros de Certificate Transparency para achar entradas esquecidas.
3. Verifique portas e serviços: faça varreduras autorizadas (por exemplo, com o Nmap) nos IPs públicos e anote cada serviço que responde, a versão dele e quem é o responsável.
4. Compare com fontes externas: veja o que o Shodan e o Censys mostram sobre seus endereços. Essa é a visão que o atacante tem.
5. Classifique por risco: trate primeiro acesso remoto, bancos de dados, painéis administrativos e softwares com vulnerabilidades conhecidas.
6. Defina um responsável para cada ativo: ativo sem dono acaba sem atualização.

Um cuidado importante: só faça varreduras em ativos da sua empresa ou com autorização formal por escrito. Em ambientes hospedados por terceiros, confira o contrato e as políticas do provedor antes de rodar testes ativos.

O resultado costuma surpreender. É comum encontrar servidores de projetos encerrados, equipamentos de filiais configurados por prestadores antigos e serviços liberados "temporariamente" anos atrás. Esse inventário passa a ser a base de qualquer decisão de segurança dali em diante.

Como reduzir a exposição sem travar a operação

Reduzir a superfície de ataque não significa desligar tudo o que está na internet. Significa garantir que cada serviço exposto tenha um motivo de negócio, um responsável e controles adequados. As medidas que mais fazem diferença costumam ser estas:

• Desligar o que não tem uso: desative serviços, registros DNS e máquinas que não servem mais para nada.
• Esconder o acesso remoto: deixe RDP, SSH e painéis administrativos acessíveis só por VPN com autenticação multifator ou por soluções de acesso Zero Trust.
• Limitar quem pode acessar: quando um serviço precisa ficar exposto, restrinja no firewall os endereços IP ou países que podem se conectar.
• Manter as atualizações em dia: priorize as correções de segurança de firewalls, VPNs, servidores web e de qualquer software publicado na internet.
• Proteger as aplicações web: use WAF (firewall de aplicação web), HTTPS bem configurado e cabeçalhos de segurança.
• Limpar o DNS: remova registros que apontam para recursos que não existem mais, o que elimina o risco de sequestro de subdomínio.

Também vale rever o processo que causou a exposição. Se ambientes de teste aparecem com IP público, talvez falte uma regra para criar recursos na nuvem. Se fornecedores abrem portas no firewall sem registro, falta um processo para controlar mudanças. Corrigir o processo evita que o problema volte no mês seguinte.

Defina também indicadores simples para acompanhar a evolução: quantos serviços estão expostos sem justificativa, quanto tempo leva para corrigir uma vulnerabilidade crítica em um ativo público e quantos subdomínios não têm responsável. Com esses números, a segurança deixa de ser uma percepção e passa a ser algo que a diretoria consegue acompanhar e cobrar.

Monitoramento contínuo: EASM como rotina, não como projeto

A superfície de ataque muda toda semana. Sistemas novos entram em produção, fornecedores mudam configurações e surgem vulnerabilidades em softwares que já estavam expostos. Por isso, um mapeamento feito uma única vez perde o valor rapidamente. O recomendado é tratar a gestão da superfície de ataque externa como um processo contínuo, com varreduras periódicas, alertas quando um serviço novo aparece e revisão regular do inventário.

Para muitas empresas, é difícil manter essa rotina só com a equipe interna, porque ela exige ferramentas, tempo e conhecimento atualizado sobre ameaças. É aí que um parceiro de TI faz diferença. A Duk Informática & Cloud trabalha há mais de 18 anos com infraestrutura, cloud e segurança, atende mais de 550 empresas e é Microsoft Gold Partner. Nossa equipe ajuda a levantar o inventário do que está exposto, priorizar os riscos, ajustar firewalls e acessos remotos e manter o monitoramento ao longo do tempo, junto com o suporte do dia a dia.

Se você não tem certeza do que sua empresa expõe hoje na internet, comece por um diagnóstico. Fale com a Duk e descubra quais portas, subdomínios e serviços estão visíveis, e quais podem ser fechados antes que alguém os encontre.