مقدمه

هر سرور، وب‌سایت، نرم‌افزار یا حتی یک کامپیوتر شخصی، دارای نقاطی است که کاربران یا سیستم‌های دیگر می‌توانند از طریق آن با آن ارتباط برقرار کنند. همین نقاط ارتباطی، در صورتی که به‌درستی مدیریت نشوند، می‌توانند به مسیر ورود مهاجمان تبدیل شوند.

در امنیت سایبری، به مجموعه تمام نقاطی که امکان نفوذ یا سوءاستفاده از آن‌ها وجود دارد، Attack Surface یا سطح حمله گفته می‌شود.

هرچه سطح حمله یک سیستم بزرگ‌تر باشد، احتمال کشف آسیب‌پذیری و نفوذ به آن نیز افزایش پیدا می‌کند. به همین دلیل، یکی از اولین اقدامات در امن‌سازی هر زیرساخت، کاهش Attack Surface است.

در این مقاله با مفهوم سطح حمله، انواع آن، مثال‌های واقعی و روش‌های کاهش آن آشنا می‌شویم.

Attack Surface چیست؟

Attack Surface مجموعه تمام نقاطی است که یک مهاجم می‌تواند از طریق آن‌ها برای دسترسی، نفوذ یا سوءاستفاده از یک سیستم تلاش کند.

این نقاط می‌توانند شامل موارد زیر باشند:

• پورت‌های باز
• سرویس‌های در حال اجرا
• صفحات وب
• APIها
• کاربران سیستم
• سرویس‌های Remote
• نرم‌افزارهای نصب‌شده
• تنظیمات اشتباه
• فایل‌های قابل دسترس

به بیان ساده، هر چیزی که از بیرون قابل دسترسی باشد، بخشی از سطح حمله محسوب می‌شود.

یک مثال ساده

فرض کنید یک VPS تازه خریداری کرده‌اید و فقط قصد دارید یک وب‌سایت روی آن اجرا کنید.

اما پس از نصب سیستم‌عامل، سرویس‌های زیر نیز فعال هستند:

• SSH
• FTP
• Apache
• MySQL
• Mail Server
• Samba
• Docker API
• Cockpit

در حالی که فقط Apache مورد نیاز شماست.

هر یک از سرویس‌های اضافی، یک مسیر جدید برای حمله ایجاد می‌کنند و باعث افزایش Attack Surface می‌شوند.

انواع Attack Surface

سطح حمله معمولاً به سه دسته اصلی تقسیم می‌شود.

۱. Network Attack Surface

تمام سرویس‌هایی که از طریق شبکه در دسترس هستند.

نمونه‌ها:

• SSH
• RDP
• FTP
• MySQL
• Redis
• Docker API
• HTTP
• HTTPS
• DNS
• SMTP

هر پورتی که از اینترنت قابل مشاهده باشد، بخشی از Network Attack Surface است.

۲. Software Attack Surface

تمام نرم‌افزارها، سرویس‌ها و برنامه‌هایی که روی سیستم نصب شده‌اند.

برای مثال:

• PHP
• Apache
• Nginx
• IIS
• WordPress
• phpMyAdmin
• Jenkins
• Grafana
• Portainer

هر نرم‌افزار ممکن است دارای آسیب‌پذیری‌های شناخته‌شده یا ناشناخته باشد.

۳. Human Attack Surface

انسان‌ها نیز بخشی از سطح حمله هستند.

نمونه‌ها:

• رمز عبور ضعیف
• اشتراک‌گذاری رمز عبور
• کلیک روی ایمیل فیشینگ
• نصب نرم‌افزارهای نامعتبر
• استفاده از رمزهای تکراری
• دسترسی بیش از حد کاربران

بسیاری از حملات موفق، به جای نفوذ فنی، از خطای انسانی استفاده می‌کنند.

مثال واقعی در یک وب‌سرور

فرض کنید روی یک سرور Ubuntu سرویس‌های زیر نصب شده‌اند:

• Nginx
• PHP
• MySQL
• phpMyAdmin
• SSH

از میان این سرویس‌ها:

• SSH روی اینترنت باز است.
• phpMyAdmin بدون محدودیت IP در دسترس است.
• نسخه PHP قدیمی است.
• MySQL امکان اتصال Remote دارد.

این موارد سطح حمله سرور را افزایش می‌دهند و احتمال سوءاستفاده را بیشتر می‌کنند.

Attack Surface در لینوکس

در یک سرور لینوکسی، موارد زیر بخشی از سطح حمله محسوب می‌شوند:

• پورت‌های باز
• سرویس‌های فعال
• کاربران دارای دسترسی sudo
• SSH
• Docker Socket
• Cron Jobها
• فایل‌های دارای مجوز نامناسب
• اشتراک‌های NFS یا Samba
• نسخه‌های قدیمی نرم‌افزارها

برای مشاهده سرویس‌های فعال می‌توانید از دستور زیر استفاده کنید:

ss -tulnp

برای مشاهده پردازش‌های در حال اجرا:

systemctl list-units --type=service

Attack Surface در ویندوز

در Windows Server نیز سطح حمله شامل موارد زیر است:

• RDP
• SMB
• IIS
• WinRM
• PowerShell Remoting
• Windows Services
• کاربران Administrator
• Scheduled Tasks

فعال بودن سرویس‌هایی که استفاده نمی‌شوند، سطح حمله را افزایش می‌دهد.

Attack Surface در وب‌سایت‌ها

در یک وب‌سایت، سطح حمله می‌تواند شامل موارد زیر باشد:

• صفحه Login
• پنل مدیریت
• فرم تماس
• API
• Upload فایل
• صفحات قدیمی
• افزونه‌های نصب‌شده
• قالب‌های قدیمی
• نسخه PHP
• پایگاه داده

هر صفحه یا قابلیتی که از اینترنت قابل دسترسی باشد، بخشی از Attack Surface است.

چگونه سطح حمله را کاهش دهیم؟

یکی از مهم‌ترین اصول امنیت، حذف هر چیزی است که به آن نیاز ندارید.

چند اقدام مؤثر:

• حذف سرویس‌های غیرضروری
• بستن پورت‌های اضافی
• حذف نرم‌افزارهای بلااستفاده
• محدود کردن دسترسی کاربران
• غیرفعال کردن Remote Accessهای غیرضروری
• استفاده از فایروال
• به‌روزرسانی مداوم سیستم
• حذف حساب‌های کاربری قدیمی
• محدود کردن دسترسی پنل‌های مدیریتی بر اساس IP
• استفاده از احراز هویت چندمرحله‌ای (MFA)

کاهش Attack Surface در VPS

اگر یک سرور مجازی برای میزبانی وب دارید، می‌توانید با اقدامات زیر سطح حمله را به شکل قابل توجهی کاهش دهید:

• غیرفعال کردن ورود مستقیم Root
• استفاده از SSH Key
• حذف FTP و استفاده از SFTP
• محدود کردن دسترسی SSH با فایروال
• حذف phpMyAdmin در صورت عدم نیاز
• به‌روزرسانی منظم سیستم‌عامل
• حذف سرویس‌های آزمایشی
• نصب Fail2Ban
• فعال‌سازی UFW یا nftables

رابطه Attack Surface با Vulnerability

داشتن Attack Surface بزرگ به معنای وجود آسیب‌پذیری نیست، اما هرچه تعداد نقاط قابل دسترس بیشتر باشد، احتمال وجود آسیب‌پذیری نیز افزایش پیدا می‌کند.

به عنوان مثال:

• یک سرور با دو سرویس فعال، معمولاً سطح حمله کوچک‌تری نسبت به سروری با بیست سرویس فعال دارد.
• یک وب‌سایت با پنج افزونه، معمولاً نسبت به سایتی با پنجاه افزونه، احتمال کمتری برای وجود آسیب‌پذیری دارد.

تفاوت Attack Surface و Vulnerability

این دو مفهوم اغلب با یکدیگر اشتباه گرفته می‌شوند.

یک مثال واقعی

فرض کنید یک سرور دارای سرویس‌های زیر است:

• SSH
• Nginx
• Docker
• MySQL
• Redis
• Jenkins
• phpMyAdmin

اگر فقط Nginx برای شما ضروری باشد، پنج سرویس دیگر سطح حمله اضافی ایجاد کرده‌اند.

با حذف یا محدود کردن آن‌ها:

• احتمال نفوذ کاهش می‌یابد.
• تعداد آسیب‌پذیری‌های بالقوه کمتر می‌شود.
• مدیریت امنیت ساده‌تر خواهد شد.

جمع‌بندی

Attack Surface به تمام نقاطی گفته می‌شود که یک مهاجم می‌تواند از طریق آن‌ها برای دسترسی به سیستم تلاش کند. این نقاط شامل سرویس‌های شبکه، نرم‌افزارها، تنظیمات، کاربران و حتی خطاهای انسانی هستند.

یکی از مهم‌ترین اصول امنیت، کاهش سطح حمله است. هر سرویس، نرم‌افزار یا قابلیت غیرضروری که حذف یا محدود شود، احتمال موفقیت مهاجمان را نیز کاهش می‌دهد.

در عمل، بسیاری از حملات موفق نه به دلیل پیچیدگی مهاجم، بلکه به دلیل وجود سرویس‌های اضافی، تنظیمات نادرست یا دسترسی‌های غیرضروری اتفاق می‌افتند. بنابراین، کاهش Attack Surface باید یکی از اولین مراحل در امن‌سازی هر سرور، وب‌سایت یا زیرساخت باشد.

کیان پور