Инструментальный контроль внешнего периметра, брошенных доменных записей и открытых служебных портов
Организация отключила старое облачное хранилище или временный сайт акции, но забыла удалить запись в настройках домена, и злоумышленник регистрирует освободившееся имя в облаке, получая полный контроль над официальным поддоменом компании. Испытатель выявляет брошенные привязки и открытые порты строго в границах разрешённого списка доменов.
Контроль внешней поверхности атаки (EASM) охватывает доменные зоны, журналы прозрачности сертификатов, пограничные балансировщики и сетевые экраны. Опасные уязвимости периметра возникают тогда, когда каноническая запись (CNAME) ссылается на удалённый облачный ресурс, доступный для повторной регистрации третьим лицом, когда сервер имён отдаёт полную выгрузку зоны по запросу переноса либо когда порты баз и очередей оказываются открыты во внешнюю сеть.
Силовику и руководителю (без жаргона): Перехват «Claim dangling third-party cloud bucket or scan out-of-scope external autonomous systems» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма Приказ ФСТЭК России от 11.04.2025 № 117 п. 53; ГОСТ Р 56939-2024 §5.8 | Фильтр SEC-ZD-V2-10 | Свидетель 5a70c928d1436f62
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (forall ((rec DNSRecord)) (=> (is_cname rec) ... | FP = 0,0% | Правило IMMUNE-EAS-5A70C928 (mcp-sentinel 1.1.2)1. Схема перехвата на проводе и выпуска контракта для NET-EAS-10
Инструментальный цикл проверки по классу NET-EAS-10 (OWASP A05:2021 / WSTG-INFO-02, MITRE ATT&CK T1584.001 / CWE-350): блокировка опасной мутации правилом SEC-ZD-V2-10 до сокета, фиксация свидетеля 5a70c928d1436f62 и выпуск контракта IMMUNE-EAS-5A70C928 для шлюза mcp-sentinel.
2. Фильтр нулевого ущерба и формальный инвариант решателя для NET-EAS-10
По правилу SEC-ZD-V2-10 модуль контроля границ ScopeGuard удерживает все проверки доменных записей и сетевых сокетов строго внутри подтверждённого списка адресов организации. Испытатель никогда не захватывает сторонние облачные ресурсы и не обращается к чужим автономным системам.
На испытательном стенде анализатор сверяет цепочки разрешения имён, ответы неактивных облачных корзин и доступность закрытых портов управления с защищённым эталоном периметра. Наличие брошенной делегации или открытого порта фиксируется свидетелем 5a70c928d1436f62 при нулевом числе ложных тревог.
Код класса: NET-EAS-10 (external_perimeter_easm)
Международные матрицы: OWASP A05:2021 / WSTG-INFO-02 | MITRE ATT&CK T1584.001 / CWE-350
Нормативная привязка: Приказ ФСТЭК России от 11.04.2025 № 117 п. 53; ГОСТ Р 56939-2024 §5.8
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: DNS / Perimeter Audit: CNAME promo.company.example -> unclaimed-bucket.cloud.example (NXDOMAIN / NoSuchBucket) | Port 6379/9200 check
Перехваченная мутация: Claim dangling third-party cloud bucket or scan out-of-scope external autonomous systems
Инвариант решателя Z3: (assert (and (forall ((rec DNSRecord)) (=> (is_cname rec) (verified_active_endpoint rec))) (= (exposed_admin_mgmt_port perim) 0) (= (zone_transfer_axfr perim) false)))
Правило фильтра: SEC-ZD-V2-10
Хэш свидетеля: 5a70c928d1436f62
Скомпилированный фильтр: IMMUNE-EAS-5A70C928 (mcp-sentinel 1.1.2)3. Автоматический выпуск защитного контракта IMMUNE-EAS-5A70C928 и квитанция ГОСТ Р 34.11-2012
На основании свидетеля 5a70c928d1436f62 компилятор в автоматическом режиме формирует контракт IMMUNE-EAS-5A70C928. Правило блокирует обращение к неподтверждённым внешним псевдонимам, запрещает неавторизованный перенос доменной зоны и закрывает служебные порты на межсетевом экране.
4. Инженерные разъяснения по проверке и закрытию класса NET-EAS-10
Безопасное доказательство риска перехвата поддомена без регистрации чужого ресурса
Анализатор сопоставляет цепочку доменных указателей с точными кодами ответов облачных провайдеров об отсутствии целевой корзины, математически подтверждая брешь без создания внешних объектов.
Непрерывное отслеживание случайно открытых тестовых узлов на внешнем периметре
Утверждённая карта доменных записей и открытых портов фиксируется в журнале по ГОСТ Р 34.11-2012, что позволяет мгновенно обнаружить любое отклонение от согласованного паспорта сети.