EASM: la superficie de ataque vista por el atacante

El EASM designa la identificación, el inventario y la evaluación continuos de todos los activos de una organización accesibles desde Internet – desde la perspectiva externa y sin conocimiento previo del inventario interno. El foco está en los «unknown unknowns»: subdominios olvidados, sistemas heredados, entornos de prueba y staging, recursos cloud adquiridos de forma autónoma por los departamentos (shadow IT), así como servicios expuestos como accesos remotos, interfaces de administración o bases de datos. OWASP describe la superficie de ataque como la suma de todas las vías por las que los datos y los comandos entran y salen de un sistema – el EASM aplica esta mirada de forma sistemática a toda la TI públicamente accesible de una organización.

Partiendo de unos pocos puntos de inicio («seeds» como dominios principales, rangos de IP o nombres de empresa), las técnicas de EASM correlacionan fuentes de datos públicamente disponibles: DNS activo y pasivo, registros de Certificate Transparency (registros públicos, de solo adición, de certificados TLS emitidos según la RFC 9162), datos WHOIS/RDAP, asignaciones de ASN y de IP de los registros de Internet, así como datos de escaneo a escala de Internet sobre puertos y servicios abiertos. Se suman fuentes de filtraciones como los volcados de credenciales y los sitios de tipo paste, para detectar credenciales expuestas de los propios dominios. Como estas mismas fuentes también están abiertas a los atacantes, el resultado muestra exactamente la imagen que un atacante ve durante su reconocimiento.

No todo hallazgo es un riesgo relevante. Los datos en bruto del descubrimiento deben primero atribuirse: ¿pertenece el activo realmente a la propia organización, a un proveedor de servicios o a una CDN? A continuación, los hallazgos se validan – ¿es el servicio realmente accesible, la configuración efectivamente débil, la vulnerabilidad explotable en la práctica? – y se priorizan según la exposición, la explotabilidad y la criticidad para el negocio. Sin estos pasos, el EASM produce listas largas en lugar de resultados accionables; con ellos, la remediación se concentra en los hallazgos que un atacante utilizaría de forma realista en primer lugar.

Un escáner de vulnerabilidades comprueba sistemas conocidos frente a vulnerabilidades conocidas – presupone un inventario bien mantenido y permanece ciego ante los activos que nadie ha registrado. Una prueba de penetración examina un alcance definido de antemano, de forma manual y en profundidad, pero ofrece solo una instantánea. El EASM actúa antes: responde primero a la pregunta del inventario («¿Qué es realmente visible desde fuera?») y proporciona así el alcance que el escaneo y el pentest necesitan. Los tres enfoques no se sustituyen entre sí, sino que se complementan: el EASM encuentra la superficie, el escaneo la comprueba en amplitud y el pentest en profundidad.

Las superficies de ataque externas cambian constantemente: nuevos despliegues cloud, certificados emitidos automáticamente, cambios de configuración, adquisiciones y contratos que expiran modifican el panorama, a veces a diario. Un escaneo o pentest anual no refleja este cambio. La agencia estadounidense de ciberseguridad CISA muestra lo cortos que se han vuelto los intervalos: su directiva BOD 23-01 (2022) obliga a las agencias federales de EE. UU. a realizar un descubrimiento automatizado de activos al menos cada siete días y una enumeración de vulnerabilidades de todos los activos descubiertos cada 14 días. También el NIST Cybersecurity Framework 2.0 ancla los inventarios mantenidos de hardware, software y servicios (categoría ID.AM) como base de la gestión de riesgos.

En la práctica, el EASM sigue un ciclo recurrente: a partir de los seeds, el descubrimiento identifica activos, los consolida en un inventario y asigna cada uno a un responsable. Los hallazgos evaluados y validados entran en los procesos existentes (gestión de vulnerabilidades, ITSM) como tickets priorizados y documentados de forma trazable – incluyendo recomendaciones concretas de remediación como desactivar, parchear, endurecer o trasladar detrás de accesos VPN o Zero Trust. Tras la remediación, una nueva comprobación desde fuera confirma que la exposición ha sido realmente eliminada. Indicadores como el tiempo hasta la remediación y el número de activos desconocidos recién descubiertos hacen medible el grado de madurez a lo largo del tiempo.