De Map

Onderdeel vanJe aanvalsoppervlak in kaart brengen en testen

De Map tekent de omgeving van een organisatie als interactief diagram. Gebruik haar om te zien welke hosts blootgesteld zijn, wie ze kan bereiken, welke het belangrijkst zijn en hoe een aanvaller zich vanaf het internet naar een kroonjuweel kan bewegen.

ATLAS opent op de Map. Om er vanaf een andere pagina naar terug te gaan, kies je Map in de kopbalk.

De Map van een voorbeeldorganisatie in de indeling Constellation, met vijf domeingebieden, hosts in kleurcodes en de actoren in het midden

Wie kan wat doen

Iedereen met toegang kan de Map verkennen. Mensen met de rol admin of user kunnen ook een host scannen, kroonjuwelen en kritikaliteit markeren, actoren en vertrouwensrelaties toevoegen en de indeling van de Map opslaan.

Zo lees je de Map

Kies Legend rechtsboven voor de volledige legenda. Kort samengevat:

Domeinen zijn gebieden. Elk domein is een eiland met de naam en de zone als label.

Hosts zijn atomen. Elke host is een kleine cirkel binnen het gebied van zijn domein.

De kleine stippen die om een host draaien (de "elektronen") zijn de open poorten.

De kleur van het midden (de "kern") geeft de ernstigste open bevinding aan: Critical · exploitable, High, Low / informational of No open findings.

De grootte van een host geeft de kritikaliteit aan.

Een markering geeft een Crown jewel aan, en een pictogram toont wat voor host het is, zoals Web, Mail, VPN / firewall, Database of OT / ICS.

Actoren zijn de mensen en groepen die de omgeving kunnen bereiken, zoals "Anyone from the internet" en je medewerkers. Ze staan in het midden.

Lijnen tonen relaties: wat vanaf het internet bereikbaar is, aanvalspaden (met genummerde stappen), vertrouwensrelaties tussen hosts, hosts die een poort, kwetsbaarheid of onjuiste configuratie delen, en wat er nieuw is sinds de laatste scan.

Zones

Elk domein hoort bij een van vier zones:

Zone	Betekenis
Public	Gehost door de organisatie en bereikbaar vanaf het internet
Third-party hosted	Bereikbaar vanaf het internet, maar beheerd door een leverancier
Unmanaged · shadow	Gevonden door ATLAS, maar niet op de eigen lijst van de organisatie
Internal · via VPN	Alleen bereikbaar van binnen het netwerk

Een host zoeken

Kies het zoekvak Find host, IP, product linksboven.

Typ een deel van een hostnaam, een IP-adres of een productnaam. Hosts die niet overeenkomen, vervagen naar de achtergrond.

Druk op Enter om de eerste overeenkomende host te selecteren en het paneel ervan te openen. Druk op Escape om de zoekopdracht te wissen.

Een host bekijken

Kies een host op de Map. Er opent een zijpaneel. Beweeg eerst met de muis over een host om een korte samenvattingskaart te zien.

Lees het paneel:

de zone en naam van de host;

Open ports met het aantal poorten;

Findings, met de ernst van elke bevinding. Kies details › om de volledige bevinding te openen, of Ticket om een ticket aan te maken. Bij een host zonder bevindingen staat "No findings on this host.";

Threat model: de schakelaar Crown jewel, Criticality, de vertrouwensrelaties van de host en de aanvalspaden die erdoorheen lopen.

Kies Focus here om alleen deze host en zijn omgeving te tonen.

De Map met een geselecteerde VPN-host en het zijpaneel met open poorten, bevindingen en het dreigingsmodel

Om alleen deze host te scannen, kies je Scan this host. Zie Eén host scannen.

Kroonjuwelen en kritikaliteit markeren

Een kroonjuweel is een systeem dat de organisatie niet kan missen, zoals de database met patiëntendossiers of de domeincontroller. Aanvalspaden zijn routes vanaf het internet naar een kroonjuweel, dus als je ze goed markeert, wordt elke andere weergave bruikbaarder.

Iedereen met de rol admin of user kan hosts markeren.

Kies de host op de Map.

Zet onder Threat model de schakelaar Crown jewel aan.

Kies onder Criticality Low, Medium of High.

ATLAS slaat de wijziging meteen op. De markeringen worden opgeslagen in het gedeelde register van bedrijfsmiddelen van de organisatie in MESH, zodat Command en MESH dezelfde kroonjuwelen en kritikaliteit tonen.

Opmerking

Hiervoor moet de organisatie een register van bedrijfsmiddelen delen met MESH. Anders weigert ATLAS met "this organization does not contribute to a shared asset registry, so there is nowhere to record the threat model". Vraag je Soveryne-contactpersoon om de organisatie te koppelen.

Een vertrouwensrelatie vastleggen

Een vertrouwensrelatie geeft aan dat de ene host de andere vertrouwt, bijvoorbeeld een applicatieserver die verbinding maakt met een database. Aanvallers gebruiken vertrouwen om zich tussen hosts te verplaatsen.

Kies de host die een andere host vertrouwt.

Kies onder Threat model Draw trust link.

Een balk toont "Trust from <host> — click the host it trusts". Beschrijf de relatie desgewenst in het labelvak, bijvoorbeeld "DB connection".

Kies de vertrouwde host op de Map. Kies Cancel om te stoppen zonder iets vast te leggen.

Om een vertrouwensrelatie te verwijderen, kies je de verwijderknop ernaast in het paneel van de host, of in de weergave Trust relations. De relatie verdwijnt uit de lijst.

De actor in het midden kiezen

Actoren zijn de mensen en groepen die de omgeving kunnen bereiken. De actor in het midden is het gezichtspunt voor de weergave Exposure en de indeling Depth.

Kies Centre rechtsboven. Het menu Actors opent: "Who can reach this estate."

De tabel toont elke actor met zijn Reach, een keuze Centre en een selectievakje On map.

Kies de optie Centre van de actor die je in het midden wilt.

Vink On map uit om een actor te verbergen. Er moet minstens één actor op de Map blijven.

Elke organisatie begint met twee actoren: de algemene tegenstander ("Anyone from the internet") en Employees.

Een actor toevoegen

Open Centre.

Om een bekende aanvallersgroep toe te voegen, gebruik je Add an adversary: zoek op naam, alias of motief en kies de tegenstander.

Om een ander soort actor toe te voegen, ga je naar New actor. Typ een naam, bijvoorbeeld "Cleaning company", en kies het soort: Department, Contractor, Supplier, Customers, Compromised device, Insider threat, Thief, Former employee of Visitor.

Kies Add. ATLAS bevestigt "<name> added. Use Draw access or relation to connect it."

Met een actor werken

Kies een actor op de Map om het paneel ervan te openen. Daar kun je:

Put at the centre kiezen, of Remove from map en Show on map;

Edit name and description kiezen en daarna Save;

bij een tegenstander het Profile lezen (motief, vaardigheid, hoe hij binnenkomt en zijn technieken) en Show likely attack paths kiezen;

bij Employees afdelingen toevoegen, zoals Finance of IT;

onder Reaches zien welke hosts de actor kan bereiken. Voor de algemene tegenstander, Employees, een gecompromitteerd apparaat en een insider threat volgt het bereik de scan. Kies voor andere actoren Choose hosts, vink hosts aan en kies Save access;

Draw access or relation kiezen om de actor te verbinden met een host of met een andere actor, met een aanvalstype zoals phishing of fysieke toegang;

Remove actor kiezen. ATLAS vraagt "Click again to remove <name>"; kies de knop nogmaals om te bevestigen.

De weergave wijzigen

Kies View rechtsboven om te wijzigen wat de lijnen en kleuren op de Map tonen. Elke weergave wordt boven in het menu beschreven.

Groep	Weergaven
Surface	Exposure: lijnen van de actor in het midden naar elke host die hij kan bereiken. Dikkere lijnen betekenen meer open poorten.
Threat model	Attack paths: de routes naar een kroonjuweel, elk met het snijpunt. Adversary: waarschijnlijke routes voor één tegenstander, op basis van zijn technieken en vaardigheid. Actors and reach: elke actor en de hosts die hij bereikt. Trust relations: wie met wie verbinding maakt.
Shared across hosts	Shared ports, Shared CVEs en Shared misconfigurations: hosts met dezelfde zwakke plek, zodat één oplossing er veel dichtzet.
Over time	Since last scan: New hosts, New findings en Fixed vergeleken met de vorige scan. Live scan: wat de lopende scan omvat.

Het geopende menu View op de Map, met de weergaven en de hostfilters

Na de allereerste scan toont Since last scan "This is the first scan — there is no earlier snapshot to compare with."

Hosts filteren

Onder de weergaven beperkt Filter hosts wat de Map toont. Kies Reset om alle filters te wissen.

Toon Everything, Attack paths only, Crown jewels and paths to them of Hosts with open findings.

Stel een Minimum severity in: Any, Low+, High+ of Critical.

Kies onder Zones welke zones je wilt tonen.

Kies onder Always show welke lijnen en markeringen in elke weergave zichtbaar blijven: Actor relations, Attack paths, Trust relations, Port orbits, Severity colour en Domain territories.

De indeling wijzigen

Met de knoppen rechtsonder deel je de Map op drie manieren in:

Indeling	Hoe ze de omgeving ordent
Constellation	Domeinen als eilanden; hosts groeperen zich organisch en vertrouwensrelaties trekken ze naar elkaar toe.
Orbit	Het internet in het midden, met ringen per afstand: eerst internet-facing, dan third-party en shadow, dan intern.
Depth	Kolommen per aantal stappen vanaf het internet; rijen per domein.

Gebruik − en + om te zoomen, en de laatste knop om de hele Map passend op het scherm te tonen.

Gebieden en actoren verplaatsen

Sleep een domein aan de greep naast de naam, of sleep een actor, om het op de gewenste plek te zetten. ATLAS onthoudt de positie per indeling. Bij een verplaatst item verschijnt een knop om het terug te zetten op de automatische plek.

Om alles in één keer terug te zetten, kies je Rearrange. ATLAS bevestigt bijvoorbeeld "4 items are back in their automatic place." en past de Map opnieuw op het scherm.

Bekijk: een rondleiding door de Map (ongeveer 1 min)

Wat je ziet vóór de eerste scan

Een nieuwe organisatie heeft nog geen hosts. De Map toont "No hosts discovered yet" en "Run passive reconnaissance to find this organization's domains and hosts. It reads public records only and sends nothing to the target."

De Map van een organisatie zonder hosts, met de knop Run passive recon

Kies Run passive recon om te beginnen. Zie Passieve verkenning starten vanaf de Map.

Een scan volgen op de Map

Terwijl een scan loopt, toont een label op de Map de naam en voortgang ervan. Kies Watch on map om over te schakelen naar de weergave Live scan. Die telt de hosts die Scanned, Scanning now en Queued zijn, en de hosts die alleen passief worden onderzocht omdat het eigendom niet is aangetoond, of die zijn geweigerd omdat er geen mandaat is.

Problemen oplossen

Melding	Wat het betekent	Wat je doet
"this organization does not contribute to a shared asset registry, so there is nowhere to record the threat model"	Kroonjuwelen en kritikaliteit worden in MESH opgeslagen, en deze organisatie is niet gekoppeld.	Vraag je Soveryne-contactpersoon om de organisatie aan MESH te koppelen.
"Trust relations connect hosts — pick a host."	Je koos een actor terwijl je een vertrouwenslink tekende.	Kies in plaats daarvan een host.
"<name>'s reach follows the scan. Pick an actor to record a relation."	Het bereik van deze actor komt uit de scan en kan niet handmatig worden ingesteld.	Teken in plaats daarvan een relatie naar een andere actor.
"Keep at least one actor on the map."	Je probeerde de laatste actor te verbergen.	Toon eerst een andere actor.
"An actor needs a name."	Je probeerde een actor zonder naam toe te voegen.	Typ een naam.
"<name> is already a department."	De afdeling bestaat al.	Gebruik de bestaande afdeling.
"No route from the internet reaches a crown jewel with the current findings."	Er bestaat geen aanvalspad met wat ATLAS nu weet.	Controleer of de kroonjuwelen van de organisatie zijn gemarkeerd.

← VorigeScans Volgende →Bevindingen en aanvalspaden