Envanter bir tablo değil, bir süreçtir. Kaydı kimin açtığı belli olmayan her alt alan adı bir süre sonra kimsenin olmayan bir varlığa dönüşür.
Saldırı yüzeyi envanteri çalışmalarının çoğu bir tabloyla başlar ve birkaç ay sonra o tablo gerçeği yansıtmaz hale gelir. Sorun tabloda değil, varlıkların nasıl doğduğunda.
Varlık nasıl sahipsiz kalır?
Üç tipik yol var:
- Kampanya için açılan alt alan adı, kampanya bitince kapatılmaz.
- Bir ekip kendi bulut hesabında test ortamı açar; kurumsal envanterden habersizdir.
- Satın alınan şirketin alan adları devralınır ama envantere işlenmez.
Dışarıdan bakmanın farkı
İç envanter "ne kurduğumuzu" söyler. Dışarıdan tarama "internetten ne göründüğünü" söyler. İkisi arasındaki fark, saldırganın çalıştığı alandır.
Sertifika şeffaflık log'ları bu farkı kapatmanın en ucuz yolu: kurum alan adınız için sertifika alan her yeni ad, siz istemeseniz de kaydedilir.
Pratik kural
Her alt alan adının bir sahibi ve bir son kullanma tarihi olsun. Sahibi olmayan kayıt açılmasın; süresi dolan kayıt otomatik gözden geçirmeye düşsün.
