Awesome Attack Surface Management

उपकरणों, संसाधनों, और आक्रमण सतह प्रबंधन (ASM), बाह्य आक्रमण सतह प्रबंधन (EASM), और निरंतर सुरक्षा निगरानी के लिए सर्वोत्तम प्रथाओं की एक संकलित सूची।

आक्रमण सतह प्रबंधन एक संगठन की बाहरी डिजिटल संपत्तियों की निरंतर खोज, विश्लेषण, वर्गीकरण और निगरानी है ताकि कमजोरियों की पहचान की जा सके और साइबर जोखिम को कम किया जा सके।

सामग्री

• पुनर्ज्ञान और खोज
  • उपडोमेन गणना
  • DNS खोज
  • प्रमाणपत्र पारदर्शिता
  • नेटवर्क स्कैनिंग
  • API खोज
  • OSINT ढाँचे
• फिंगरप्रिंटिंग और प्रौद्योगिकी पहचान
  • वेब प्रौद्योगिकी पहचान
  • सेवा फिंगरप्रिंटिंग
  • क्लाउड प्लेटफ़ॉर्म पहचान
• क्लाउड आक्रमण सतह प्रबंधन
• ओपन सोर्स ASM प्लेटफ़ॉर्म
• वाणिज्यिक ASM प्लेटफ़ॉर्म
• स्वचालन और ऑर्केस्ट्रेशन
• संसाधन

पुनर्ज्ञान और खोज

उपडोमेन गणना

• Subfinder - एकाधिक स्रोतों का उपयोग करके तेज़ निष्क्रिय उपडोमेन गणना उपकरण।
• Knock - शब्दसूची और क्षेत्र स्थानांतरण समर्थन के साथ उपडोमेन स्कैनर।
• Findomain - निगरानी क्षमताओं वाला क्रॉस-प्लेटफ़ॉर्म उपडोमेन गणक।
• chaos-client - ProjectDiscovery के Chaos डेटासेट API को क्वेरी करने के लिए क्लाइंट।
• Sudomy - विश्लेषण और रिपोर्टिंग के साथ उपडोमेन गणना।
• alterx - DSL का उपयोग करके उपडोमेन शब्दसूची जनरेटर।

DNS खोज

• MassDNS - बल्क लुकअप के लिए उच्च-प्रदर्शन DNS स्टब रिज़ॉल्वर।
• dnsx - एकाधिक DNS प्रश्नों के समर्थन के साथ तेज़ DNS टूलकिट।
• dnsgen - DNS खोज के लिए डोमेनों के संयोजन और क्रमपरिवर्तन उत्पन्न करें।
• altdns - परिवर्तनों और क्रमपरिवर्तनों के माध्यम से उपडोमेन खोज।
• dnsrecon - DNS रिकॉर्ड के कई प्रकारों का समर्थन करने वाला DNS गणना स्क्रिप्ट।
• fierce - असतत IP स्थान का पता लगाने के लिए DNS पुनर्ज्ञान उपकरण।
• shuffledns - सक्रिय ब्रूटफोर्स के साथ DNS गणना के लिए massdns के चारों ओर रैपर।
• asnmap - ASN जानकारी का उपयोग करके संगठन नेटवर्क श्रेणियों का त्वरित मैपिंग।

प्रमाणपत्र पारदर्शिता

• crt.sh - CT लॉग के लिए प्रमाणपत्र खोज वेब इंटरफ़ेस।
• Cert-Stream - वास्तविक समय प्रमाणपत्र पारदर्शिता लॉग निगरानी।
• CertSpotter - प्रमाणपत्र पारदर्शिता लॉग मॉनिटर।
• Censys - इंटरनेट-व्यापी स्कैनिंग और प्रमाणपत्र पारदर्शिता खोज।

नेटवर्क स्कैनिंग

• Nmap - व्यापक स्क्रिप्टिंग क्षमताओं के साथ नेटवर्क खोज और सुरक्षा ऑडिटिंग।
• Masscan - पूरे इंटरनेट को स्कैन करने में सक्षम TCP पोर्ट स्कैनर।
• RustScan - गति और स्वचालन पर ध्यान केंद्रित करने वाला आधुनिक पोर्ट स्कैनर।
• Naabu - विश्वसनीयता पर ध्यान केंद्रित करते हुए Go में लिखा गया तेज़ पोर्ट स्कैनर।
• ZGrab2 - बड़े पैमाने के अध्ययनों के लिए तेज़ एप्लिकेशन लेयर स्कैनर।
• Shodan - इंटरनेट से जुड़े उपकरणों के लिए खोज इंजन।
• Onyphe - ओपन-सोर्स इंटेलिजेंस संग्रह के लिए साइबर डिफेंस खोज इंजन।
• Katana - अगली पीढ़ी का क्रॉलिंग और स्पाइडरिंग फ्रेमवर्क।
• Uncover - कई खोज इंजनों का उपयोग करके इंटरनेट पर खुले होस्ट का त्वरित पता लगाएं।

API खोज

• Goctopus - उपडोमेन गणना, स्क्रिप्ट विश्लेषण और ब्रूटफोर्स का उपयोग करके बेहद तेज़ GraphQL एंडपॉइंट खोजकर्ता।
• httpx - वेब सेवाओं और API एंडपॉइंट की जांच के लिए तेज़ और बहुउद्देशीय HTTP टूलकिट।
• SecLists API - वेब एप्लिकेशन API फ़ज़िंग के लिए API नामों की शब्दसूची।

OSINT ढाँचे

• theHarvester - सार्वजनिक स्रोतों से ईमेल, उपडोमेन और नामों का हार्वेस्टर।
• SpiderFoot - वेब UI के साथ स्वचालित OSINT पुनर्ज्ञान उपकरण।
• OWASP Maryam - वेब खोज और जानकारी संग्रह के लिए मॉड्यूलर OSINT ढाँचा।
• Maltego - लिंक विश्लेषण के साथ इंटरैक्टिव डेटा माइनिंग उपकरण।

फिंगरप्रिंटिंग और प्रौद्योगिकी पहचान

वेब प्रौद्योगिकी पहचान

• Wappalyzer - CMS, फ्रेमवर्क, विश्लेषण उपकरणों की पहचान करने वाला प्रौद्योगिकी प्रोफाइलर।
• WhatWeb - प्रौद्योगिकियों, संस्करणों और अधिक की पहचान करने वाला अगली पीढ़ी का वेब स्कैनर।
• Webanalyze - बल्क वेबसाइट विश्लेषण के लिए Go में लिखा गया Wappalyzer का पोर्ट।
• retire.js - ज्ञात कमजोरियों वाली JavaScript लाइब्रेरीज़ का पता लगाने वाला स्कैनर।
• wappalyzergo - Wappalyzer Technology Detection Library का Go कार्यान्वयन।

सेवा फिंगरप्रिंटिंग

• Nmap NSE Scripts - सेवा और संस्करण पहचान के लिए व्यापक स्क्रिप्टिंग इंजन।
• wafw00f - वेब एप्लिकेशन फ़ायरवॉल फिंगरप्रिंटिंग उपकरण।
• CMSeeK - CMS पहचान और शोषण सूट।

क्लाउड प्लेटफ़ॉर्म पहचान

• Cloudfinder - किसी दिए गए होस्ट के क्लाउड/होस्टिंग प्रदाता का पता लगाएं।
• CloudFlair - CloudFlare के पीछे की वेबसाइटों के मूल सर्वर खोजने का उपकरण।
• cloud_enum - सार्वजनिक संसाधनों को खोजने के लिए मल्टी-क्लाउड OSINT उपकरण।
• CloudMapper - सुरक्षा स्थिति के लिए AWS वातावरण का विश्लेषण करें।
• ScoutSuite - मल्टी-क्लाउड सुरक्षा ऑडिटिंग उपकरण।
• Prowler - AWS/Azure/GCP सुरक्षा मूल्यांकन और अनुपालन।

क्लाउड आक्रमण सतह प्रबंधन

• Cartography - बुनियादी ढाँचे की संपत्तियों और संबंधों को ग्राफ में समेकित करता है।
• Cloudsploit - क्लाउड सुरक्षा कॉन्फ़िगरेशन स्कैनर।
• Pacu - सुरक्षा परीक्षण के लिए AWS शोषण ढाँचा।
• CloudSplaining - AWS IAM सुरक्षा मूल्यांकन उपकरण।
• CloudCustodian - क्लाउड सुरक्षा और शासन के लिए नियम इंजन।
• Steampipe - क्लाउड बुनियादी ढाँचे को क्वेरी करने के लिए SQL का उपयोग करें।
• Cloudlist - मल्टी-क्लाउड संपत्ति सूचीकरण उपकरण।

ओपन सोर्स ASM प्लेटफ़ॉर्म