Superficie di attacco esterna
Le tue scansioni di conformità guardano dentro il tuo tenant. La scansione della superficie di attacco esterna lo guarda dall'esterno, come farebbe un attaccante: ispeziona il bordo pubblico dei tuoi domini - certificati TLS, record DNS di sicurezza ed endpoint di servizio esposti - e segnala ciò che è debole, mal configurato o meritevole di un'analisi più attenta.
Non richiede alcun agente né accesso ai tuoi server. Tutto ciò che controlla è già pubblico, quindi la scansione si limita a raccoglierlo, confrontarlo con le buone pratiche e trasformarlo in risultati chiari.
Richiede un piano a pagamento
La scansione della superficie di attacco esterna è inclusa nei piani a pagamento. Senza un piano a pagamento la pagina mostra un invito all'upgrade anziché i risultati. Consulta la pagina dei piani per scoprire cosa include ciascun piano.
Cosa controlla
I risultati sono raggruppati in tre sezioni.
SSL/TLS
Panoramica. Questa sezione esamina i certificati e la configurazione TLS dei tuoi host pubblici: la negoziazione che un browser, un server di posta o un attaccante avvia nel momento stesso in cui si connette. Una configurazione debole o scaduta indebolisce ogni altro controllo che le sta dietro.
- Scadenza del certificato - se un certificato è valido e non sta per scadere. Un certificato scaduto rompe la fiducia e blocca gli utenti.
- Versione del protocollo - se l'host negozia ancora protocolli deboli e obsoleti (SSL 3.0, TLS 1.0 e 1.1) anziché TLS 1.2 o 1.3.
- Robustezza della cifratura - se l'host accetta suite di cifratura deboli, come RC4, 3DES o cifrari di livello export.
- Nuovi certificati - certificati rilevati nei registri pubblici di Certificate Transparency e nuovi rispetto all'ultima scansione, così che un'emissione inattesa per il tuo dominio non passi inosservata.
Correzione.
- Rinnova i certificati con largo anticipo rispetto alla scadenza e automatizza il rinnovo (per esempio con ACME / Let's Encrypt, o il rinnovo automatico della tua autorità di certificazione) così che una scadenza non ti colga di sorpresa.
- Disattiva SSL 3.0 e TLS 1.0/1.1 e offri solo TLS 1.2 e 1.3 su ogni host pubblico. Per gli host che non gestisci direttamente (una CDN, un load balancer, un sito SaaS) imposta tutto questo nella policy TLS di quella piattaforma.
- Rimuovi le suite di cifratura deboli e obsolete; il profilo "Intermediate" di Mozilla è un'impostazione predefinita sicura, a meno che tu non abbia un motivo specifico per discostartene.
- I nomi host dei servizi Microsoft 365 (come
outlookeautodiscover) usano certificati e impostazioni TLS gestiti da Microsoft, quindi lì non c'è nulla da modificare: intervieni sugli host personalizzati che gestisci tu. - Pubblica un record CAA affinché solo le autorità di certificazione da te scelte possano emettere per il dominio, e continua a monitorare Certificate Transparency così che un certificato inatteso venga notato in fretta.
Riferimenti.
- RFC 8446 - TLS 1.3
- Mozilla Server Side TLS configuration guidance
- Microsoft - Solving the TLS 1.0 problem
- RFC 6962 - Certificate Transparency
- RFC 8659 - DNS Certification Authority Authorization (CAA)
- Qualys SSL Labs server test
Sicurezza DNS
Questa sezione riguarda i record DNS che proteggono il tuo dominio e la tua posta: i controlli che impediscono ad altri di falsificare il tuo dominio, di leggere o manomettere la tua posta o di dirottare un record dimenticato. Ogni record è spiegato singolarmente qui sotto: che cos'è, perché è importante e come appare un valore corretto e sicuro.
Record di sicurezza della posta e del dominio
| Record | Tipo | Perché è importante | Come appare un buon valore |
|---|---|---|---|
| SPF | TXT | Elenca quali server di posta possono inviare messaggi a nome del tuo dominio, così che i destinatari possano rifiutare la posta falsificata. | Un unico record TXT sul dominio radice che autorizza Microsoft 365 e termina con un hard fail: v=spf1 include:spf.protection.outlook.com -all. Non usare mai +all, che autorizza qualsiasi mittente. |
| DKIM | CNAME | Firma la posta in uscita così che i destinatari possano dimostrare che non è stata manomessa durante il transito. | Firma DKIM abilitata per il dominio nel portale Microsoft Defender, con pubblicati i due record CNAME selector1 e selector2 che vengono forniti. |
| DMARC | TXT | Indica ai destinatari cosa fare con la posta che non supera i controlli SPF o DKIM, e ti invia dei report. | Un record TXT _dmarc con almeno v=DMARC1; p=quarantine e un indirizzo di report rua=. Passa a p=reject quando hai acquisito fiducia. p=none si limita a monitorare e non protegge. |
| MX | MX | Indica dove viene recapitata la posta del tuo dominio. | MX punta a <tuo-dominio>.mail.protection.outlook.com per la posta instradata tramite Microsoft 365. |
| DNSSEC | - | Firma le risposte DNS così che non possano essere falsificate nel tragitto verso un resolver. | DNSSEC abilitato presso il tuo provider DNS o registrar, in modo che la tua zona sia firmata. |
| Takeover di sottodominio | CNAME | Individua i record pendenti che puntano a un servizio non più in uso, che un attaccante potrebbe rivendicare. | Nessun CNAME punta a un servizio inutilizzato. Rimuovi o ripunta qualsiasi record pendente prima che qualcun altro lo rivendichi. |
Record di servizio Microsoft 365
Questi record standard consentono ai servizi Microsoft 365 di trovare i propri endpoint sul tuo dominio. La scansione mostra il valore a cui ciascuno dovrebbe puntare accanto al valore a cui punta adesso.
| Record | Host | Dovrebbe puntare a | Funzione |
|---|---|---|---|
| Autodiscover | autodiscover | autodiscover.outlook.com | Consente a Outlook di trovare automaticamente le impostazioni della propria casella. |
| Skype / Teams | lyncdiscover, sip | webdir.online.lync.com, sipdir.online.lync.com | Rilevamento per Skype for Business / Teams. |
| Gestione dei dispositivi | enterpriseregistration, enterpriseenrollment | enterpriseregistration.windows.net, enterpriseenrollment.manage.microsoft.com | Registrazione e iscrizione dei dispositivi Windows. |
Un record semplicemente assente viene mostrato a titolo informativo (potresti non usare quel servizio). Un record che punta a una destinazione diversa da quella Microsoft viene segnalato, perché può interrompere il servizio o essere il segno di una voce obsoleta o dirottata.
Riferimenti.
- Microsoft - Set up SPF e RFC 7208
- Microsoft - Set up DKIM e RFC 6376
- Microsoft - Set up DMARC e RFC 7489
- Microsoft 365 - Create DNS records at any provider
- RFC 9364 - DNS Security Extensions (DNSSEC)
- Microsoft - Prevent dangling DNS entries and subdomain takeover
Endpoint esposti
Superfici pubbliche che ampliano la tua superficie di attacco:
- Endpoint di autenticazione legacy - protocolli più vecchi che aggirano le moderne protezioni di accesso e costituiscono una via comune per gli attacchi alle password.
- Condivisione esterna - quanto ampiamente SharePoint e OneDrive consentono la condivisione al di fuori della tua organizzazione.
- Accesso ospite - con quanta libertà gli ospiti possono essere invitati nel tuo tenant.
Domini aggiuntivi
La scansione deve sapere quali host esaminare. Esistono due tipi di destinazione.
Domini rilevati automaticamente
Quando viene eseguita una scansione, Aether365 legge i domini verificati dal tuo tenant Microsoft 365 collegato e li scansiona automaticamente, insieme ai nomi host di servizio Microsoft 365 standard da essi derivati (come autodiscover e owa). Poiché Microsoft ha già verificato che questi domini sono tuoi, sono considerati attendibili e vengono scansionati senza alcun passaggio aggiuntivo da parte tua.
Puoi escludere dalla scansione un host rilevato automaticamente se non vuoi includerlo, ma non puoi eliminarlo: verrebbe semplicemente riscoperto alla scansione successiva.
Domini personalizzati
Puoi aggiungere i tuoi domini, ad esempio un sito di marketing o un dominio di prodotto che non fa parte del tuo tenant Microsoft 365. Apri Domini aggiuntivi, inserisci un nome di dominio nudo (come example.com, senza https:// e senza percorso) e aggiungilo.
Prima di proporre un passaggio di verifica, Aether365 conferma che il dominio sia effettivamente registrato e risolvibile (esiste nel DNS e ha record di indirizzo o di posta). Un dominio scritto male o parcheggiato viene rifiutato in partenza, perché non ci sarebbe nulla da scansionare. Anche i domini già coperti dal tuo tenant Microsoft 365 vengono rifiutati, dato che sono scansionati automaticamente.
I domini personalizzati devono poi essere verificati prima che Aether365 li scansioni. Questo dimostra che controlli il dominio e impedisce a chiunque di puntare il nostro scanner verso un sito che non possiede.
Verificare un dominio personalizzato
Quando aggiungi un dominio personalizzato, inizia come Unverified e non viene ancora scansionato. Per verificarlo:
In Domini aggiuntivi, individua il dominio. Mostra un record DNS TXT da pubblicare, nella forma:
aether365-site-verification=<your-unique-token>Aggiungi quel valore come record TXT presso il tuo provider DNS, sul dominio stesso (l'apex). I passaggi esatti dipendono dal tuo provider, ma stai creando un nuovo record TXT il cui valore è la riga mostrata nell'app. Usa il pulsante Copia record per copiarla esattamente.
Salva il record presso il tuo provider e concedi al DNS qualche minuto per propagarsi.
Tornato in Aether365, fai clic su Verify. Cerchiamo i record TXT del dominio e confermiamo che il tuo sia presente. Una volta che corrisponde, il dominio viene contrassegnato come Verified e sarà incluso nella tua prossima scansione.
Il DNS richiede un po' di tempo
Se la verifica fallisce subito dopo aver pubblicato il record, attendi qualche minuto e riprova: le modifiche al DNS non sono sempre visibili immediatamente. Il token resta valido, quindi puoi riprovare tutte le volte che serve.
Devi verificare ciascun dominio personalizzato una sola volta. I domini Microsoft 365 rilevati automaticamente non richiedono mai questo passaggio.
Eseguire una scansione
Apri la pagina Attack Surface e seleziona Run scan. La scansione viene eseguita in background e la pagina ne mostra l'avanzamento; al termine, le tre sezioni si riempiono di risultati e il riepilogo della postura in alto riflette l'ultima esecuzione. Puoi avviare una scansione su richiesta ogni volta che vuoi un quadro aggiornato.
Leggere i risultati
I risultati sono raggruppati per dominio. Ogni dominio ha la propria scheda e ogni nome host di servizio Microsoft 365 (come autodiscover.example.com o sip.example.com) si trova all'interno della scheda del suo dominio radice anziché come voce separata. Una scheda è aperta per impostazione predefinita; fai clic sulla sua intestazione per comprimerla.
All'interno di una scheda i controlli sono suddivisi in base ai servizi a cui appartengono - Mail security, Domain security, Autodiscover, Skype / Teams, Device management, Certificates ed Exposed endpoints - in modo che i record correlati restino insieme.
Ogni scheda si apre come un elenco leggibile e un interruttore tabella nell'intestazione della scheda trasforma i record DNS in una tabella scorrevole, così puoi leggere ogni record a colpo d'occhio. La tabella ha una riga per record con quattro colonne:
| Colonna | Cosa mostra |
|---|---|
| Tipo | Il tipo di record come etichetta: TXT, CNAME, MX e così via. |
| Host / nome | L'host su cui risiede il record, ad esempio autodiscover.example.com. |
| Stato | Un'etichetta colorata: Corrisponde (verde) quando il valore pubblicato è corretto, Non corrisponde (rosso) quando un valore è pubblicato ma errato, oppure Mancante (ambra) quando non è pubblicato nulla. |
| Valore pubblicato | Il valore pubblicato in questo momento. Quando un record va corretto, il valore che Microsoft 365 si aspetta viene mostrato subito sotto, così puoi confrontare l'atteso con l'attuale affiancati. I valori lunghi, come le chiavi DKIM, restano su una sola riga finché non li espandi. |
I record che richiedono attenzione sono elencati per primi, così quelli su cui vale la pena intervenire restano in cima. Un record mancante può andare bene se non usi quel servizio. Qualunque vista tu usi, ogni risultato rimanda a maggiori dettagli sul controllo specifico.
Il riepilogo in cima alla pagina totalizza i problemi aperti per gravità, e ogni scheda di dominio mostra quanti dei suoi record richiedono attenzione, così puoi capire da dove iniziare. Ogni risultato rimanda a maggiori dettagli sul controllo specifico.
Domande frequenti
La scansione tocca i miei server? No. Legge solo informazioni già pubbliche - record DNS, handshake TLS sulle porte standard e registri di Certificate Transparency.
Perché un dominio personalizzato non viene scansionato? Probabilmente è ancora Unverified. Aggiungi il record TXT mostrato in Domini aggiuntivi e fai clic su Verify. Finché un dominio personalizzato non è verificato, viene saltato.
Posso rimuovere un dominio rilevato automaticamente? Non puoi eliminarlo, ma puoi escluderlo in modo che resti fuori dalle scansioni.