سطح حمله (Attack Surface) چیست؟

هر پورت باز، هر حساب کاربری فراموش‌شده، هر سرویس ابری با پیکربندی نادرست و هر برنامه‌ای که به اینترنت متصل است می‌تواند به نقطه ورود یک مهاجم تبدیل شود. مجموع این نقاط چیزی است که متخصصان امنیت آن را سطح حمله (Attack Surface) می‌نامند.

شناخت سطح حمله به سازمان‌ها کمک می‌کند پیش از آنکه مهاجمان مسیر نفوذ را پیدا کنند، نقاط در معرض خطر را شناسایی و ایمن‌سازی کنند. به همین دلیل Attack Surface یکی از مفاهیم کلیدی در امنیت شبکه، مدیریت ریسک و دفاع سایبری محسوب می‌شود.

سطح حمله چیست؟

سطح حمله یا Attack Surface به مجموعه تمام نقاط، سرویس‌ها، کاربران، تجهیزات و مسیرهایی گفته می‌شود که مهاجم می‌تواند از آن‌ها برای دسترسی غیرمجاز به سیستم‌ها، شبکه‌ها یا اطلاعات یک سازمان استفاده کند.

در واقع، هر بخش از زیرساخت فناوری اطلاعات که با کاربران یا سیستم‌های دیگر در ارتباط باشد و  ضعف امنیتی داشته باشد، می‌تواند بخشی از سطح حمله محسوب شود.

چرا سطح حمله اهمیت دارد؟

در بسیاری از حملات سایبری، مشکل اصلی وجود یک آسیب‌پذیری پیچیده نیست؛ بلکه دارایی‌هایی هستند که سازمان از وجود آن‌ها آگاهی کامل ندارد یا نظارت کافی بر آن‌ها انجام نمی‌شود. یک زیر دامنه فراموش‌شده، یک سرویس آزمایشی که همچنان فعال است یا یک حساب کاربری بدون استفاده می‌تواند به نقطه ورود مهاجمان تبدیل شود.

با افزایش استفاده از رایانش ابری، دورکاری، اینترنت اشیا (IoT) و سرویس‌های آنلاین، تعداد دارایی‌های متصل به شبکه روز به روز بیشتر شده است. در نتیجه سطح حمله سازمان‌ها نیز بیشتر شده و شناسایی تمام نقاط در معرض خطر دشوارتر از گذشته است.

مدیریت و کاهش سطح حمله به سازمان‌ها کمک می‌کند پیش از آنکه مهاجمان مسیر نفوذ را پیدا کنند، نقاط پرخطر را شناسایی و ایمن‌سازی کنند. این رویکرد مزایای متعددی به همراه دارد:

• کاهش احتمال نفوذ و دسترسی غیرمجاز
• کاهش ریسک نشت اطلاعات حساس
• افزایش دید و کنترل بر دارایی‌های سازمان
• بهبود مدیریت ریسک‌های امنیتی
• کاهش هزینه‌های ناشی از رخدادهای امنیتی
• افزایش انطباق با استانداردها و الزامات امنیتی
• تسریع فرآیند شناسایی و رفع نقاط ضعف

به همین دلیل، کاهش سطح حمله یکی از مهم‌ترین راهکارهای پیشگیرانه در امنیت سایبری مدرن محسوب می‌شود.

 انواع سطح حمله

1. سطح حمله خارجی (External Attack Surface)

سطح حمله خارجی شامل تمام دارایی‌هایی است که از طریق اینترنت در دسترس قرار دارند. این بخش معمولاً اولین هدف مهاجمان در مرحله شناسایی محسوب می‌شود.

نمونه‌ها:

• وب‌سایت‌های عمومی
• سرورهای عمومی (سرورهای ایمیل)
• سرویس‌های VPN
• پورت‌های باز
• DNS و درگاه‌های Remote Access
• سامانه‌های ابری

2. سطح حمله داخلی (Internal Attack Surface)

این بخش شامل منابعی است که در داخل شبکه سازمان قرار دارند و پس از نفوذ اولیه مورد هدف قرار می‌گیرند. بسیاری از مهاجمان پس از دستیابی به یک نقطه ورود اولیه تلاش می‌کنند از طریق سطح حمله داخلی به بخش‌های حساس‌تر شبکه دسترسی پیدا کنند.

نمونه‌ها:

• فایل سرورها
• پایگاه‌های داده
• سامانه‌های منابع انسانی
• تجهیزات شبکه
• حساب‌های کاربری داخلی

3. سطح حمله دیجیتال (Digital Attack Surface)

سطح حمله دیجیتال تمامی دارایی‌های دیجیتال سازمان را در بر می‌گیرد.

مانند:

• برنامه‌های کاربردی
• سرویس‌های ابری
• نرم‌افزارها
• APIها
• حساب‌های آنلاین

با افزایش استفاده از Cloud Computing، این نوع سطح حمله به شکل قابل‌توجهی رشد کرده است.

4. سطح حمله فیزیکی (Physical Attack Surface)

هر دارایی فیزیکی که دسترسی غیرمجاز به آن امکان‌پذیر باشد، بخشی از سطح حمله فیزیکی محسوب می‌شود.

مواردی مانند:

• اتاق سرور
• تجهیزات شبکه
• حافظه‌های USB
• لپ‌تاپ‌های سازمانی
• سیستم‌های کنترل دسترسی

5. سطح حمله انسانی (Human Attack Surface)

کارکنان و کاربران یکی از مهم‌ترین بخش‌های سطح حمله محسوب می‌شوند.

مهاجمان معمولاً از روش‌هایی مانند:

• فیشینگ
• مهندسی اجتماعی
• جعل هویت
• ایمیل‌های مخرب

برای فریب کاربران و سرقت اطلاعات استفاده می‌کنند.

حتی پیشرفته‌ترین تجهیزات امنیتی نیز نمی‌توانند به طور کامل از خطاهای انسانی جلوگیری کنند.

تفاوت سطح حمله و آسیب‌پذیری

بسیاری از افراد Attack Surface و Vulnerability را یکسان در نظر می‌گیرند، در حالی که این دو مفهوم متفاوت و مکمل یکدیگر هستند.

سطح حمله به نقاط قابل دسترس برای مهاجم گفته می‌شود، اما آسیب‌پذیری یک ضعف امنیتی در آن نقاط است.

برای مثال:

• یک وب‌سایت اینترنتی بخشی از سطح حمله است.
• وجود ضعف SQL Injection در آن وب‌سایت یک آسیب‌پذیری محسوب می‌شود.

بنابراین سطح حمله محل بالقوه حمله است و آسیب‌پذیری راه سوءاستفاده از آن.

مهم‌ترین اجزای تشکیل‌دهنده سطح حمله

• وب‌سایت‌ها و برنامه‌های تحت وب

شامل وب‌سایت‌ها، پنل‌های مدیریتی و APIها که در صورت وجود ضعف امنیتی می‌توانند هدف حمله قرار بگیرند.

• سرویس‌های ابری

سرویس‌های Cloud در صورت پیکربندی اشتباه می‌توانند اطلاعات یا منابع سازمان را در معرض دسترسی عمومی قرار دهند.

• حساب‌های کاربری

حساب‌های بلااستفاده، رمزهای عبور ضعیف و دسترسی‌های بیش از حد از مهم‌ترین عوامل افزایش سطح حمله هستند.

• تجهیزات شبکه

فایروال‌ها، روترها، سوئیچ‌ها و تجهیزات امنیتی نیز در صورت تنظیمات نامناسب می‌توانند به نقطه ورود مهاجمان تبدیل شوند.

• دستگاه‌های IoT

دوربین‌ها، سنسورها و تجهیزات هوشمند امنیت پایین‌تری دارند و به همین دلیل هدف مناسبی برای مهاجمان محسوب می‌شوند.

مهاجمان چگونه سطح حمله را شناسایی می‌کنند؟

قبل از اجرای هر حمله، مهاجمان تلاش می‌کنند تصویری دقیق از زیرساخت، سرویس‌ها و دارایی‌های دیجیتال سازمان به دست آورند. این مرحله که معمولاً به عنوان شناسایی (Reconnaissance) شناخته می‌شود، نقش مهمی در کشف نقاط ضعف و مسیرهای احتمالی نفوذ دارد.

رایج‌ترین روش‌های شناسایی سطح حمله عبارت‌اند از:

1. استفاده از OSINT

بخش زیادی از اطلاعات موردنیاز مهاجمان از منابع عمومی به دست می‌آید. وب‌سایت سازمان، موتورهای جستجو، شبکه‌های اجتماعی و اطلاعات منتشرشده در اینترنت می‌توانند جزئیاتی مانند دامنه‌ها، زیر دامنه‌ها، آدرس‌های ایمیل، فناوری‌های مورد استفاده و سرویس‌های آنلاین را نمایان کنند.

2. اسکن پورت‌ها و سرویس‌ها

یکی از روش‌های رایج برای شناسایی سطح حمله، بررسی سرویس‌هایی است که از طریق اینترنت در دسترس هستند. مهاجمان با این کار متوجه می‌شوند چه بخش‌هایی از شبکه سازمان برای کاربران بیرونی قابل مشاهده است.

سرویس‌های قدیمی، نرم‌افزارهای به‌روزرسانی‌نشده و تنظیمات نادرست امنیتی از جمله مواردی هستند که در این مرحله شناسایی می‌شوند و می‌توانند به فرصتی برای نفوذ تبدیل شوند.

3. Enumeration

پس از شناسایی سرویس‌ها و سیستم‌های قابل دسترس، مهاجمان اطلاعات دقیق‌تری درباره کاربران، گروه‌ها، منابع اشتراکی و سایر اجزای شبکه جمع‌آوری می‌کنند. این اطلاعات به آن‌ها کمک می‌کند ساختار زیرساخت را بهتر درک کرده و نقاط ضعف احتمالی را شناسایی کنند.

مدیریت سطح حمله (Attack Surface Management) چیست؟

Attack Surface Management یا ASM مجموعه‌ای از فرآیندها و ابزارها برای شناسایی، ارزیابی، پایش و کاهش نقاط قابل سوءاستفاده در سازمان است.

هدف اصلی ASM این است که سازمان دید کاملی نسبت به دارایی‌های خود داشته باشد و بتواند ریسک‌های بالقوه را پیش از سوءاستفاده مهاجمان شناسایی کند.

مزایای  ASM عبارت‌اند از:

• کشف دارایی‌های ناشناخته
• شناسایی نقاط ضعف
• اولویت‌بندی ریسک‌ها
• پایش مستمر تغییرات زیرساخت
• کاهش احتمال نفوذ

چگونه سطح حمله را کاهش دهیم؟

کاهش سطح حمله یکی از مؤثرترین راهکارهای دفاع سایبری است.

• حذف سرویس‌های غیرضروری

هر سرویس اضافی که دیگر مورد استفاده قرار نمیگیرد، می‌تواند یک مسیر حمله جدید ایجاد کند.

برای مثال، سرویس‌های آزمایشی، نرم‌افزارهای قدیمی، پورتال‌های مدیریتی بلااستفاده یا دسترسی‌های راه دوری که دیگر موردنیاز نیستند، می‌توانند سطح حمله را افزایش دهند و فرصت بیشتری در اختیار مهاجمان قرار دهند.

• به‌روزرسانی مداوم سیستم‌ها

تولیدکنندگان نرم‌افزار و سیستم‌عامل‌ها به‌طور مرتب مشکلات امنیتی محصولات خود را شناسایی و برای آن‌ها به‌روزرسانی منتشر می‌کنند. اگر این به‌روزرسانی‌ها نصب نشوند، مهاجمان می‌توانند از ضعف‌های امنیتی شناخته‌شده برای نفوذ به سیستم‌ها سوءاستفاده کنند.

به همین دلیل، به‌روزرسانی منظم سرورها، نرم‌افزارها و تجهیزات شبکه نقش مهمی در کاهش سطح حمله و افزایش امنیت سازمان دارد.

• استفاده از احراز هویت چندمرحله‌ای (MFA)

در احراز هویت چندمرحله‌ای، کاربر برای ورود به حساب فقط به رمز عبور اکتفا نمی‌کند و باید یک مرحله تأیید اضافی مثل کد پیامکی، اپلیکیشن احراز هویت یا ایمیل را هم وارد کند.

این کار باعث می‌شود حتی اگر رمز عبور یک کاربر سرقت شود، مهاجم بدون داشتن مرحله دوم نتواند وارد حساب شود و دسترسی به سیستم‌ها را به دست آورد.

• اعمال اصل حداقل دسترسی (Least Privilege)

در این اصل، هر کاربر یا سیستم فقط به منابعی دسترسی دارد که برای انجام وظایفش ضروری است و هیچ دسترسی اضافه‌ای به او داده نمی‌شود.

برای مثال، یک کارمند بخش مالی نیازی به دسترسی به تنظیمات سرورها یا دیتابیس‌های حساس ندارد. محدود کردن دسترسی‌ها باعث می‌شود در صورت هک شدن یک حساب کاربری، میزان خسارت و امکان نفوذ مهاجم به بخش‌های دیگر شبکه به حداقل برسد.

• تقسیم‌بندی شبکه (Network Segmentation)

در این روش، شبکه سازمان به بخش‌های جداگانه تقسیم می‌شود تا سیستم‌ها و سرویس‌های حساس در یک محدوده ایزوله قرار بگیرند.

به این ترتیب اگر مهاجم بتواند به یکی از بخش‌های شبکه نفوذ کند، دسترسی او به سایر بخش‌ها محدود می‌شود و نمی‌تواند به‌راحتی در کل شبکه حرکت کند یا به اطلاعات حساس‌تر برسد.

• پایش مستمر دارایی‌ها

سازمان باید همیشه بداند چه سیستم‌ها و سرویس‌هایی به شبکه متصل هستند. این کار کمک می‌کند دارایی‌های ناشناخته یا فراموش‌شده که می‌توانند سطح حمله را افزایش دهند، شناسایی و کنترل شوند.

نقش تجهیزات امنیتی در کاهش سطح حمله

راهکارهای امنیتی مدرن می‌توانند نقش مهمی در کاهش Attack Surface داشته باشند.

از جمله:

• فایروال نسل جدید (NGFW): کنترل و فیلتر کردن ترافیک ورودی و خروجی و مسدود کردن دسترسی‌های غیرمجاز
• سامانه‌های تشخیص و پاسخ تهدید (EDR/XDR): شناسایی رفتارهای مشکوک در سیستم‌ها و جلوگیری از گسترش حملات
• سامانه‌های مدیریت رویداد و اطلاعات امنیتی (SIEM): جمع‌آوری و تحلیل لاگ‌ها برای تشخیص سریع فعالیت‌های غیرعادی
• کنترل دسترسی شبکه (NAC): کنترل اینکه چه دستگاه‌هایی اجازه اتصال به شبکه را دارند
• فایروال برنامه‌های وب (WAF): محافظت از وب‌اپلیکیشن‌ها در برابر حملات رایج
• سامانه‌های مدیریت دسترسی ممتاز (PAM): مدیریت و محدودسازی دسترسی‌های سطح بالا (ادمین‌ها و کاربران حساس)

استفاده ترکیبی از این راهکارها دید بهتری نسبت به سطح حمله سازمان ایجاد می‌کند.