Aanvalsoppervlak: alle plekken waar een aanvaller binnen kan komen
Stel je een huis voor. Er is een voordeur, een achterdeur, misschien een garagedeur, een paar ramen die open kunnen en een schoorsteen. Een inbreker kijkt naar al die openingen samen om te bepalen waar hij de beste kans heeft om binnen te komen. Al die mogelijke toegangspunten samen noemen beveiligingsmensen het "aanvalsoppervlak" van dat huis: hoe meer deuren, ramen en kieren, hoe groter de kans dat er ergens een zwakke plek zit.
In de digitale wereld werkt het precies zo. Het aanvalsoppervlak (in het Engels attack surface) van een computer, een netwerk, een bedrijf of zelfs een op afstand bestuurbaar apparaat is de optelsom van alle punten waarlangs een onbevoegde partij zou kunnen binnendringen, gegevens kunnen stelen of schade kunnen aanrichten. Dat kan een verouderd stukje software zijn, een slecht beveiligde inlogpagina, een medewerker die op een phishing-link klikt, of een slimme thermostaat die zomaar met het bedrijfsnetwerk verbonden is. Hoe meer van dit soort punten er zijn en hoe slechter ze zijn afgeschermd, hoe groter het aanvalsoppervlak — en hoe meer werk beveiligers hebben om alles te bewaken.
Wat is het precies?
Om het aanvalsoppervlak van een systeem in kaart te brengen, delen beveiligingsexperts het meestal op in een paar lagen. De eerste is het digitale aanvalsoppervlak: alle software, servers, websites, apps, API's (koppelingen waarmee programma's onderling gegevens uitwisselen) en netwerkverbindingen die vanaf buitenaf bereikbaar zijn. Elke webpagina, elke inlogpoort en elke open netwerkpoort telt hier mee.
De tweede laag is het fysieke aanvalsoppervlak: apparatuur die iemand letterlijk in handen kan krijgen, zoals een laptop die blijft liggen in de trein, een USB-poort in een openbare ruimte, of een serverruimte waar zomaar iemand kan binnenlopen. De derde laag is het menselijke aanvalsoppervlak, ook wel social engineering genoemd: medewerkers die misleid kunnen worden om wachtwoorden af te geven, een kwaadaardige bijlage te openen of een onbekende bezoeker binnen te laten.
Een belangrijk onderscheid is dat tussen het aanvalsoppervlak en een kwetsbaarheid. Een kwetsbaarheid (vulnerability) is een specifieke fout of zwakte, bijvoorbeeld een programmeerfout waardoor een aanvaller extra rechten kan krijgen. Het aanvalsoppervlak is breder: het gaat om alle plekken waar zo'n fout zou kunnen zitten, ook als die er op dit moment niet blijkt te zijn. Een systeem met een groot aanvalsoppervlak hoeft dus niet per se onveilig te zijn, maar de kans dat er ergens een fout schuilt, neemt wel toe naarmate er meer onderdelen, verbindingen en gebruikers bij betrokken zijn.
Beveiligers proberen dit oppervlak in kaart te brengen met wat "attack surface management" (ASM) heet: continu scannen en registreren welke systemen, domeinen, servers en diensten van een organisatie vanaf internet zichtbaar en bereikbaar zijn. Dat klinkt eenvoudiger dan het is, want in grote organisaties duiken voortdurend nieuwe, soms vergeten of onbekende systemen op — de zogeheten "schaduw-IT", zoals een testserver die een ontwikkelaar jaren geleden online zette en nooit meer heeft uitgezet.
Wat wil men ermee bereiken?
Het uiteindelijke doel is simpel te formuleren, ook al is het lastig te bereiken: het aanvalsoppervlak zo klein en zo goed bewaakt mogelijk maken, zodat aanvallers minder kans krijgen. Dit heet in de sector "attack surface reduction" (het verkleinen van het aanvalsoppervlak). Concreet betekent dit bijvoorbeeld onnodige software verwijderen, ongebruikte netwerkpoorten sluiten, verouderde systemen uitfaseren en toegang tot gevoelige systemen beperken tot wie het echt nodig heeft.
Daarnaast is zichtbaarheid een groot doel op zich. Veel organisaties weten simpelweg niet precies welke systemen ze allemaal hebben draaien en welke daarvan vanaf het internet bereikbaar zijn. Onderzoek van beveiligingsbedrijven laat steeds weer zien dat een flink deel van de succesvolle inbraken plaatsvindt via systemen waarvan de eigenaar zich niet eens bewust was dat ze online stonden. Het in kaart brengen van het aanvalsoppervlak is dus vaak de eerste stap, nog vóór er iets aan verbeterd kan worden: je kunt geen deur op slot doen als je niet weet dat hij bestaat.
Een derde doelstelling is prioritering. Geen enkele organisatie heeft de tijd en het geld om ieder denkbaar risico tegelijk aan te pakken. Door het aanvalsoppervlak in kaart te brengen en te beoordelen welke onderdelen het grootste risico vormen — bijvoorbeeld een systeem met klantgegevens dat rechtstreeks vanaf internet bereikbaar is — kunnen beveiligingsteams hun beperkte middelen daar inzetten waar ze het meeste effect hebben.
Voorbeelden uit de praktijk
De kwetsbaarheid Log4Shell, ontdekt in december 2021, laat goed zien hoe een klein onderdeel een enorm aanvalsoppervlak kan creëren. Log4j is een veelgebruikte bibliotheek (herbruikbaar stukje software) voor het bijhouden van logboeken, verwerkt in talloze applicaties wereldwijd, van Minecraft-servers tot bedrijfssoftware. Doordat deze ene bibliotheek in zoveel systemen verstopt zat, ontstond er in één klap een wereldwijd aanvalsoppervlak van naar schatting honderden miljoenen apparaten.
De SolarWinds-hack van 2020 toonde een ander type risico: het aanvalsoppervlak via de toeleveringsketen. Aanvallers besmetten een software-update van het netwerkbeheerprogramma Orion, waardoor duizenden organisaties — waaronder Amerikaanse overheidsinstanties — een achterdeur binnenhaalden via een leverancier die ze zelf vertrouwden.
De Mirai-botnet-aanval uit 2016 liet zien hoe slecht beveiligde IoT-apparaten ("internet of things": slimme camera's, routers en andere op internet aangesloten apparaten) samen een enorm aanvalsoppervlak vormen. Aanvallers namen honderdduizenden apparaten met standaardwachtwoorden over en gebruikten die om grote delen van het internet plat te leggen, waaronder diensten als Twitter en Netflix.
In 2023 maakte de criminele groep Cl0p gebruik van een kwetsbaarheid in de bestandsoverdrachtssoftware MOVEit Transfer om bij honderden organisaties gegevens te stelen. Dit is een schoolvoorbeeld van hoe één specifiek, extern bereikbaar systeem — vaak over het hoofd gezien omdat het "gewoon" bestanden overdraagt — een kritiek deel van het aanvalsoppervlak kan vormen.
Tot slot is de zoekmachine Shodan, opgericht in 2009 door John Matherly, een goed voorbeeld van een hulpmiddel dat het aanvalsoppervlak van het hele internet zichtbaar maakt: Shodan doorzoekt voortdurend het internet op verbonden apparaten en systemen, en wordt zowel door beveiligers als door aanvallers gebruikt om kwetsbare systemen te vinden.
Hoe ver is de techniek?
Het meten en beheren van het aanvalsoppervlak is de afgelopen jaren van een handmatige, sporadische klus veranderd in een continu, grotendeels geautomatiseerd proces. Waar beveiligingsteams vroeger één keer per kwartaal handmatig een lijst met systemen doornamen, draaien er nu gespecialiseerde scanprogramma's die dag en nacht het internet aftasten op nieuwe of gewijzigde systemen van een organisatie.
Toch blijft het een kat-en-muisspel. Organisaties groeien, fuseren, nemen clouddiensten (via internet afgenomen reken- en opslagcapaciteit) in gebruik en laten medewerkers op afstand werken — elk van die ontwikkelingen voegt nieuwe, soms onvoorziene toegangspunten toe. Onderzoek van meerdere beveiligingsbedrijven laat zien dat het gemiddelde aanvalsoppervlak van organisaties de afgelopen jaren is gegroeid, vooral door de overstap naar cloud-diensten en het toegenomen thuiswerken sinds de coronapandemie.
Een belangrijke ontwikkeling is de opkomst van kunstmatige intelligentie binnen dit vakgebied: AI-modellen worden ingezet om sneller patronen te herkennen in de enorme hoeveelheid scandata en om kwetsbaarheden te prioriteren. Tegelijk vergroot AI ook het aanvalsoppervlak zelf, omdat organisaties steeds vaker AI-systemen aan hun infrastructuur koppelen, met eigen, nog relatief onbekende zwakke plekken.
Een blijvend obstakel is dat volledige zichtbaarheid in de praktijk zelden wordt bereikt. Grote organisaties met duizenden systemen, honderden leveranciers en een lange geschiedenis van fusies en overnames raken vrijwel nooit het probleem van "onbekende onbekenden" kwijt: systemen waarvan niemand meer weet dat ze bestaan. Volledige automatisering lost dit gedeeltelijk op, maar menselijke beoordeling blijft nodig om te bepalen wat werkelijk risicovol is.
Wie werken eraan?
Op standaardisatie- en kennisniveau spelen non-profitorganisaties een centrale rol. MITRE, een Amerikaanse onderzoeksorganisatie, beheert onder meer de CVE-database (een wereldwijd gestandaardiseerde lijst van bekende kwetsbaarheden) en het ATT&CK-framework, dat aanvalstechnieken in kaart brengt. OWASP (Open Worldwide Application Security Project) publiceert praktische richtlijnen voor het beveiligen van webapplicaties. Het Amerikaanse NIST (National Institute of Standards and Technology) stelt beveiligingsstandaarden op die wereldwijd als referentie gelden.
Op overheidsniveau coördineert het Amerikaanse CISA (Cybersecurity and Infrastructure Security Agency) de nationale aanpak van kwetsbaarheden en aanvalsoppervlakken, terwijl het Europese ENISA een vergelijkbare rol speelt binnen de EU. In Nederland houdt het Nationaal Cyber Security Centrum (NCSC) zich bezig met het informeren van organisaties over dreigingen en kwetsbaarheden.
Op commercieel vlak bieden bedrijven als Palo Alto Networks (met het product Cortex Xpanse), Microsoft (Defender External Attack Surface Management), CrowdStrike, Rapid7, Tenable en Qualys gespecialiseerde software aan waarmee organisaties hun eigen aanvalsoppervlak continu in kaart brengen en bewaken. Deze markt is de afgelopen jaren snel gegroeid, mede doordat grote, bekende inbraken zoals SolarWinds en MOVEit het onderwerp hoog op de agenda van bestuurders hebben gezet.