Поверхность атаки: что это, типы, как её сокращают

Поверхность атаки в информационной безопасности — это совокупность всех точек системы или организации, через которые злоумышленник теоретически может попытаться получить несанкционированный доступ, вызвать сбой или извлечь данные. Определение восходит к терминологии NIST (глоссарий CNSSI 4009 / NIST SP 800-53): поверхность атаки — множество точек на границе системы, элемента системы или среды, где атакующий может попытаться проникнуть, повлиять на систему или извлечь из неё данные.

На практике поверхность складывается из разнородных элементов: открытых сетевых портов и запущенных сервисов, веб-приложений и API, учётных записей и связанных с ними прав доступа, установленного программного обеспечения с его уязвимостями, интеграций с подрядчиками и облачными сервисами, а также людей — сотрудников, которых можно обмануть через фишинг или другую социальную инженерию.

Размер поверхности не равен уровню риска напрямую: у организации с сотней открытых сервисов риск может быть ниже, чем у организации с десятком, если эти десять критично уязвимы и доступны без всякой аутентификации. Поверхность атаки — это карта возможных точек входа, а не готовая оценка их опасности; оценку критичности каждой точки даёт отдельный процесс — управление уязвимостями.

Отраслевая практика делит поверхность атаки на три типа — цифровую, физическую и социальную, — и отдельно разграничивает внешнюю и внутреннюю часть цифровой поверхности. Это не единый нормативный стандарт, а устоявшаяся в индустрии ИБ классификация, которую используют поставщики ASM-решений, аналитические агентства и государственные CERT в объяснительных материалах.

↔ таблицу можно прокрутить вбок

Разделение внешней и внутренней цифровой поверхности особенно важно на практике: внешняя часть — то, что видит и может атаковать любой человек в интернете без всякого предварительного доступа, поэтому именно её в первую очередь проверяют внешние ASM-инструменты и OSINT-разведка. Внутренняя часть становится актуальной только после того, как атакующий уже получил хоть какой-то плацдарм — скомпрометированную рабочую станцию, украденный VPN-доступ, — и от неё дальше зависит, насколько далеко он сможет продвинуться внутри сети.

Поверхность атаки — это все теоретически возможные точки входа у организации, а вектор атаки — конкретный путь, который атакующий реально использовал в отдельно взятой атаке. Поверхность отвечает на вопрос «где в принципе можно попытаться проникнуть», вектор — на вопрос «как именно проникли в этот раз».

Пример: у компании поверхность атаки включает полсотни открытых сервисов, десятки учётных записей и сотни сотрудников с корпоративной почтой. В конкретном инциденте атакующий использовал один вектор — украденный через целевой фишинг пароль от VPN, — а не все точки поверхности сразу. Сокращение поверхности напрямую уменьшает число доступных векторов: чем меньше открытых сервисов и учётных записей, тем меньше вариантов у атакующего, каким путём попытаться зайти.

Attack Surface Management (ASM) — непрерывный процесс обнаружения, инвентаризации, оценки и сокращения всех точек, через которые можно атаковать организацию, а не разовая проверка. Категория появилась в отрасли ИБ, потому что реальная поверхность атаки компании — включая забытые поддомены, тестовые серверы и несанкционированно развёрнутые облачные сервисы — почти всегда шире, чем знает о ней собственная служба безопасности.

Инструментарий для определения поверхности атаки делится на несколько категорий. Сканеры сетевых портов и сервисов показывают, что открыто и доступно извне на конкретных IP-адресах. Специализированные ASM/EASM-платформы автоматизируют непрерывное обнаружение активов и теневого IT в масштабах всей организации, а не разового IP-диапазона. Сканеры уязвимостей и VM-платформы ищут конкретные уязвимости на уже обнаруженных активах и оценивают их критичность.

Отдельная категория — методы пассивной разведки, OSINT, которые показывают, что о компании и её инфраструктуре уже видно из открытых источников без прямого технического взаимодействия с её системами.

Сократить поверхность атаки — значит убрать из открытого доступа то, что не нужно для работы системы, и последовательно закрывать оставшиеся точки известными защитными мерами.

• Минимизация сервисов. Отключение неиспользуемых портов, протоколов, служебных учётных записей и тестовых стендов, которые никто давно не проверял на необходимость.
• Харденинг конфигураций. Харденинг — систематическое устранение лишних возможностей и уязвимых настроек системы; это одна из основных мер, напрямую нацеленных на сокращение поверхности атаки, а не побочный эффект.
• Сегментация сети. Сегментация не убирает точки входа, но ограничивает, что атакующий сможет достать после взлома одной из них — сокращая практическую ценность внутренней поверхности для дальнейшего продвижения.
• Управление уязвимостями. Регулярное закрытие известных уязвимостей программного обеспечения убирает конкретные слабые точки на уже существующей поверхности, даже когда сам сервис остаётся открытым по необходимости.
• Контроль теневого IT и учётных записей. Периодические ASM-сканы и ревизия неиспользуемых учётных записей не дают поверхности незаметно расти между плановыми аудитами.
• Обучение сотрудников. Снижение социальной части поверхности через регулярные тренировки распознавания фишинга и других приёмов социальной инженерии.

Отдельного нормативного термина «поверхность атаки» в российских НПА нет, но требования, которые де-факто описывают управление ею, встроены в методики ФСТЭК по управлению уязвимостями. Методический документ ФСТЭК России «Руководство по организации процесса управления уязвимостями в органе (организации)» от 17 мая 2023 г. требует от организации, включая субъектов КИИ, непрерывно выявлять уязвимости своих информационных систем — что на практике невозможно без предварительной инвентаризации активов, то есть той же поверхности атаки.

Оценка критичности найденных уязвимостей ведётся по методике ФСТЭК России от 30 июня 2025 г. с использованием базовой оценки CVSS.

Сокращение поверхности атаки не устраняет риск уязвимости нулевого дня целиком — по определению, о таком дефекте ещё не знает даже сам разработчик, и патча для него пока не существует. Но чем меньше у организации открытых сервисов и неиспользуемых активов, тем меньше точек, где подобная неизвестная уязвимость вообще может быть применена, — поэтому управление поверхностью атаки и управление уязвимостями на практике работают как два взаимодополняющих процесса, а не как замена друг друга.