mcpField
D
defender-easm

defender-easm

github.com/vinayaklatthe安全17842 次安装19 周前更新
代码仓库

关于 defender-easm

defender-easm 是使用 Microsoft Defender External Attack Surface Management 发现和评估组织互联网暴露资产的技能。它面向安全团队，支持资产清单审查、风险排序和持续监控流程。

主要功能

  1. 01通过种子发现外部资产
  2. 02管理已批准、候选与依赖资产
  3. 03识别证书、服务与漏洞风险
  4. 04按业务单元和重要性标记资产
  5. 05制定周期性复核与修复流程

适用场景

  1. 01并购尽调时盘点目标公司的互联网资产
  2. 02查找即将过期的 SSL 证书和暴露服务
  3. 03将发现结果整理为资产负责人修复清单

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-easm

安装后在 Claude Code 中输入/defender-easm确认已加载。

详细介绍

Microsoft Defender EASM

Defender 外部攻击面管理（EASM）会持续构建并维护组织面向互联网的外部视角资产清单，并发现这些资产上的风险——SSL 证书过期、管理界面暴露、已停止生命周期支持的 Web 技术以及已知 CVE，整个过程无需安装 Agent 或提供凭据。

适用场景

  • 没有完整的互联网面向资产清单（大多数组织都没有）。
  • 并购：在整合前快速发现被收购公司的互联网资产。
  • 发现子公司资产／影子 IT——无论资产登记在谁名下、部署在何处。
  • 持续监控证书过期、服务暴露和已弃用软件。

以下情况请勿使用此技能：内部资产安全态势（defender-for-cloud-hardening）、终端漏洞管理（defender-for-endpoint）或常规 SOC 威胁狩猎（sentinel-detection-engineering）。

发现机制

EASM 从种子开始——已知域名、IP、ASN、联系人（WHOIS）或组织名称——然后通过 DNS、WHOIS、证书透明度日志、ASN 数据和 Web 爬取逐步扩展，发现相关资产。发现结果会归入以下状态：

状态含义
已批准清单已确认归你所有；计入定价
候选项已发现但尚未确认；请审核并批准／驳回
依赖项你的资产会使用，但并非归你所有（CDN、第三方 API）
仅监控跟踪但不归你所有（例如合作伙伴的资产）

**经验法则：**从 5–10 个可信度高的种子开始。信任发现链；不要尝试手动添加每个域名——这样会漏掉那些未知的未知项。

方法

  1. **选择种子。**从主要品牌域名、前 2 个 ASN 编号以及几个重要的电子邮件域名 WHOIS 联系人开始。避免将通用 CDN 域名用作种子（会产生大量误报）。

  2. 首次发现运行（24–72 小时）。第一个月每周审核一次候选项。批准真实资产；驳回误报时请注明原因（用于优化发现）。

  3. **添加标签并分组。**按业务部门、区域和重要性为资产添加标签。没有标签，风险视图就无法用于采取行动。

  4. 攻击面洞察——优先修复影响大的问题。
    优先级顺序：

    1. 互联网 IP 上暴露的敏感服务（RDP/3389、SMB/445、数据库端口）。
    2. 已过期或将在 30 天内过期的 SSL 证书。
    3. 已停止生命周期支持的软件（Apache 2.2、IIS 7、OpenSSL 1.0）。
    4. 已识别版本中存在已知漏洞利用的高危／严重 CVE。
    5. 未经批准的云服务——位于不在批准名单中的 CSP 上的资产。

  5. 与其他产品集成。

    • Defender for Cloud（CSPM）——EASM 发现的 Azure 资产会关联到 Azure 资源，以提供完整的内外部视图。
    • Defender XDR——暴露的资产会显示在攻击面洞察中。
    • Sentinel——通过 REST API 将 EASM 数据导入监视列表以开展威胁狩猎（例如，“如果出站 C2 目标与归我们所有的 EASM 已知依赖项匹配，则发出警报”）。

  6. **并购工作流。**尽职调查期间添加目标公司的种子；将候选项列表导出为跟踪风险登记表，以便用于整合工作。交易完成前，不要将资产批准到清单中。

  7. **每季度重新建立基线。**品牌整合、子公司退役和业务部门剥离都会改变种子列表。

防护措施

  • 谨慎批准——每次批准都会产生计费资产。 将附带原因的驳回视为与批准同样重要；这有助于改进后续发现并控制成本。
  • 按资产/月计费，每月提供充足的免费额度；在批量批准 CDN 依赖项前，先了解计费方式。
  • EASM 用于检测，而非响应。 它会告知你存在暴露的 RDP；关闭端口需要在其他位置进行网络/防火墙更改。
  • 不要为了“比较”而添加竞争对手的域名作为种子。 发现过程会大范围扩展，导致归属判断出现噪声。
  • 不要指望检测零日漏洞。 EASM 根据公开横幅信息中的版本匹配已知 CVE——隐藏横幅会掩盖风险。应配合内部漏洞扫描。
  • WHOIS 数据质量因注册商和隐私保护措施而异。 有些资产无法通过 WHOIS 确认归属；请接受一定量的人工审批工作。
  • 重新发现的周期以天计，而非分钟。 不要指望 EASM 捕捉到 1 小时的暴露窗口；这是运行时监控的工作。

常见反模式

  • “为了安全起见，批准了每个候选项”——导致账单激增和噪声。只批准属于你的资产；驳回其余项。
  • “种子 = 我们曾经拥有过的所有域名，包括已剥离的资产”——已剥离的资产会永远出现在攻击面中。重新设定基线。
  • “把 EASM 当作唯一的漏洞扫描器”——基于横幅信息、无身份验证、会漏掉内部资产。应与 MDVM/MDE 结合使用。
  • “跳过了标签，导致资产达到 10K 时仪表板无法使用”——从第 1 天起就添加标签。
  • “把 EASM 发现结果当作需要在 SOC 队列中分类处理的警报”——这些反映的是安全态势，而非事件。应将其交由资产所有者修复，而非交由 L1 分类处理。
  • “使用内部资产名称作为种子”——它们无法在外部解析，因此不会发现任何资产。

示例提示词

  • Set up Defender EASM for a 3-brand global enterprise — seed strategy and labels.
  • Run an EASM discovery for an acquisition target and produce a 30-day risk register.
  • Surface expiring SSL certs in the next 30 days across approved inventory and assign to asset owners.
  • Find exposed RDP/SSH on internet-facing assets and route findings to the network team.
  • Integrate EASM data into Sentinel as a watchlist for hunting outbound C2 to owned dependencies.
  • Identify unsanctioned cloud usage (assets in clouds outside the approved list).
  • Estimate monthly cost for a 50,000-asset external footprint.

Microsoft Learn

评论

支持 Markdown