Внешняя поверхность атаки включает в себя доступные из Интернета активы: IP-адреса, домены, SSL-сертификаты, сервисы, порты, программное обеспечение и хранилища.

На самом деле поверхность атаки больше, чем может показаться. Сегодня сети децентрализованы как никогда: активы распределены между локальными, облачными и сторонними решениями. Увеличение поверхности атаки усложняет отслеживание и оценку активов и тем самым повышает уязвимость и незащищенность организации.

Этому периметру зачастую не уделяется должного внимания, так как многие компании ошибочно полагают, что у них есть полная видимость своих активов.

Выстроенная в организации система защиты нуждается в проверке извне. Прежде всего, это необходимо для того, чтобы понять, сможет ли внешний злоумышленник провести успешную атаку.

Тест на проникновение (penetration test, пентест) - классический метод оценки качества защиты. Он проводится для того, чтобы выявить уязвимые места в элементах ИТ-инфраструктуры, продемонстрировать как злоумышленники могут использовать уязвимости информационных систем и сформировать рекомендации по устранению выявленных недостатков. Как правило, классический пентест проводят один-два раза в год.

Несмотря на все преимущества такого метода оценки, пентест малоэффективен, а его результаты быстро теряют актуальность. Причина в том, что инфраструктура организации меняется быстрее, чем проводится работа по устранению выявленных уязвимостей. Кроме того, многостраничные отчеты содержат только техническую информацию.  Из-за этого трудно приоритизировать, какие уязвимости следует устранить в первую очередь, потому что нет четкого понимания, как они могут повлиять на бизнес-процессы организации. В итоге на этом процесс заканчивается, а недочеты и уязвимости так и остаются не исправленными.