در دنیای امنیت سایبری، سطح حمله (Attack Surface) به مجموعه کامل نقاط و مسیرهایی اطلاق می‌شود که یک مهاجم می‌تواند از طریق آن‌ها وارد سیستم شود، بر آن اثر بگذارد یا داده‌ها را استخراج کند. این نقاط شامل زیرساخت‌های ابری (Cloud Infrastructure)، هویت‌ها (Identities)، اپلیکیشن‌ها و حتی نیروی انسانی است. تفاوت کلیدی میان «سیاهه دارایی‌ها» (Asset Inventory) و «سطح حمله» در این است که سیاهه تنها می‌گوید چه چیزی وجود دارد، اما تحلیل سطح حمله می‌پرسد مهاجم از کجا می‌تواند با آن تعامل داشته باشد.
تفاوت سطح حمله و بردار حمله (Attack Vector)
بسیاری از متخصصان این دو مفهوم را اشتباه می‌گیرند. سطح حمله، مجموعه‌ای از نقاط قابل دسترس است (مانند یک پورت باز یا یک API)، در حالی که بردار حمله، مسیری است که مهاجم برای بهره‌برداری از یکی از آن نقاط طی می‌کند. در فرآیند رفع ریسک (Remediation)، بستن یک بردار حمله تنها یک مسیر را می‌بندد، اما حذف یک نقطه ورود غیرضروری می‌تواند چندین مسیر حمله احتمالی را به‌طور کامل از بین ببرد.
اجزای چهارگانه سطح حمله در محیط‌های ابری
- سطح حمله شبکه (Network Attack Surface): تمام مسیرهای شبکه‌ای که یک طرف غیرقابل اعتماد می‌تواند برای رسیدن به یک Workload طی کند. در محیط‌های Cloud، این مسیرها توسط Security Groupها، Load Balancerها و Route Tableها تعیین می‌شوند.
- سطح حمله هویت (Identity Attack Surface): هر Role، کاربر، Access Key یا Federated Identity که از خارج از حساب قابل دسترسی باشد. در اینجا، Permissions تعیین می‌کنند که پس از دسترسی، مهاجم چه کارهایی می‌تواند انجام دهد.
- سطح حمله اپلیکیشن (Application Attack Surface): هر Endpoint جدید یا Integration که ورودی می‌پذیرد، نقطه ورود جدیدی ایجاد می‌کند. APIهای قدیمی یا مستند نشده (Undocumented) همچنان بخشی از این سطح هستند تا زمانی که پاسخگو باشند.
- سطح حمله داده‌ها (Data Attack Surface): هر Storage Bucket، Snapshot دیتابیس یا آرشیو لاگی که خارج از مرز اعتماد (Trust Boundary) قابل خواندن باشد.
مدیریت سطح حمله (ASM) و اهمیت آن
مدیریت سطح حمله یا Attack Surface Management (ASM)، یک فرآیند مستمر برای کشف نقاط قابل دسترس و حذف موارد غیرضروری است. این حوزه به دو دسته کلی تقسیم می‌شود:
- EASM (External Attack Surface Management): از بیرون به درون نگاه می‌کند و دارایی‌های عمومی مانند Domainها و IPها را شناسایی می‌کند (مشابه دیدگاه مهاجم).
- CAASM (Cyber Asset Attack Surface Management): از درون به بیرون نگاه می‌کند و با استفاده از APIهای ارائه‌دهندگان ابری، سیاهه دقیقی از دارایی‌ها و ارتباط آن‌ها با نقاط دسترسی ایجاد می‌کند.
روش‌های اندازه‌گیری و کاهش سطح حمله
برای ارزیابی سطح حمله، می‌توان از معیارهایی مانند Relative Attack Surface Quotient استفاده کرد که یک امتیاز کلی به سیستم می‌دهد. هدف نهایی، Attack Surface Reduction است؛ یعنی حذف نقاط دسترسی غیرضروری. توجه داشته باشید که ابزارهایی مانند WAF یا رمزنگاری (Encryption) لزوماً سطح حمله را کاهش نمی‌دهند، بلکه تنها اثر حمله یا احتمال اکسپلویت شدن را مدیریت می‌کنند؛ زیرا نقطه ورود همچنان وجود دارد.
